Co-management: integrazione tra Microsoft Configuration Manager e Intune

Microsoft System Center Configuration Manager (SCCM) è uno strumento di gestione dei sistemi che si occupa principalmente dei dispositivi Windows on-prem. Intune, invece, si basa su un’architettura cloud-native che semplifica la gestione di ambienti ibridi e remoti con Windows, iOS, Android e macOS.

Unire i due strumenti permette di bilanciare le caratteristiche del software on-prem e di quello basato sul cloud di entrambe le soluzioni di gestione degli endpoint. Integrando ConfigMgr con Intune, gli amministratori ottengono funzionalità di gestione basate sul cloud mantenendo al contempo un controllo on-prem approfondito per i carichi di lavoro legacy e le distribuzioni complesse.

Questa guida spiega come usare il co-management con Microsoft Configuration Manager (ConfigMgr) e Intune per adottare un approccio ibrido e moderno alla gestione dei dispositivi.

Quando conviene adottare il co-management

Il co-management viene utilizzato di frequente nei progetti di modernizzazione degli endpoint, quando un’organizzazione vuole passare a una gestione cloud-native senza sostituire subito l’infrastruttura Configuration Manager esistente.

Tra le situazioni d’uso più comuni ci sono:

• Supportare chi lavora da remoto o in modalità ibrida
• Migrare gradualmente i carichi di lavoro su Intune
• Mantenere i flussi di lavoro legacy per la distribuzione del software
• Gestire i dispositivi connessi tramite internet
• Abilitare l’accesso condizionale e le iniziative Zero Trust
• Ridurre la dipendenza dagli endpoint connessi in VPN

Per molte aziende enterprise, il co-management rappresenta una fase intermedia prima del passaggio completo a una gestione degli endpoint cloud-native.

Come configurare il co-management tra SCCM e Intune

In origine SCCM supportava solo gli ambienti on-prem, il che limitava la scalabilità verso il cloud. L’integrazione in co-management con Intune permette però alle organizzazioni di collegare l’infrastruttura on-prem a una gestione moderna e basata sul cloud.

Il co-management consente di gestire gli endpoint contemporaneamente, sfruttando le funzionalità on-prem approfondite di SCCM e le capacità cloud-native di Intune. In questo modo il passaggio a una gestione moderna basata sul cloud – con azioni remote e accesso condizionale – avviene gradualmente, senza abbandonare l’ambiente SCCM esistente.

📌 Prerequisiti:

• SCCM Current Branch versione 1710 o successiva
• Il Cloud Management Gateway è facoltativo, ma consigliato.
• Microsoft Entra ID (licenza P1 o P2)
• Registrazione automatica a Windows Intune abilitata
• Microsoft Entra Connect Sync configurato per la sincronizzazione delle identità ibride
• Accesso amministrativo a Configuration Manager
• Licenza Intune e accesso all’interfaccio di amministrazione di Microsoft Intune
• Dispositivi Windows 10/11 Pro, Enterprise o Education

📌 Strategie di distribuzione consigliate:

Scegli un metodo	💻 Ideale per singoli utenti	💻💻💻 Ideale per le aziende enterprise
Metodo di registrazione 1: abilitare il co-management dalla console di Configuration Manager (SCCM)		✓
Metodo di registrazione 2: registrazione automatica tramite GPO per i dispositivi con aggiunta ibrida a Microsoft Entra		✓
Metodo di verifica 1: diagnostica da riga di comando con dsregcmd	✓
Metodo di verifica 2: chiavi del Registro di sistema per lo stato del co-management	✓
Metodo di verifica 3: controllo dello stato del co-management e gestione dei carichi di lavoro tramite PowerShell	✓	✓

Metodo di registrazione 1: abilitare il co-management dalla console di Configuration Manager (SCCM)

📌 Situazione d’uso: gli amministratori possono registrare in Intune i client gestiti da SCCM direttamente dalla console di Configuration Manager, senza dover reimmaginare i dispositivi o ripetere la registrazione.

⚠️ Attenzione: è importante testare prima il co-management su un gruppo pilota, prima di integrare tutti i dispositivi SCCM in Intune. (Vedi ⚠️ Aspetti da tenere d’occhio.)

📌 Prerequisito: Configuration Manager, Current Branch 2111 o successiva

1. Premi Win + S, digita Configuration Manager, fai clic con il tasto destro e seleziona Esegui come amministratore.
2. Vai su Amministrazione > Servizi cloud > Cloud Attach.
3. Fai clic con il tasto destro su Cloud Attach, quindi seleziona Configura Cloud Attach.
4. Apri il menu a discesa accanto a Ambiente cloud e seleziona la versione appropriata:
   • AzurePublicCloud
   • AzureUSGovernmentCloud
   • AzureChinacCloud
   • 💡 AzureChinaCloud non supporta Endpoint Analytics né il caricamento dei dispositivi nell’interfaccia di amministrazione di Microsoft Intune.
5. Premi Accedi, quindi autenticati con un account Microsoft Entra ID con autorizzazioni di Amministratore globale o Amministratore di Intune.
6. Seleziona il pulsante di opzione accanto alle impostazioni di Cloud Attach corrispondenti alle tue preferenze di registrazione:
   • Usa le impostazioni predefinite (consigliato).
     • Registra automaticamente in Intune tutti i dispositivi SCCM idonei.
     • Attiva Endpoint Analytics per i dispositivi interessati.
     • Carica automaticamente tutti i dispositivi nell’interfaccia di amministrazione di Microsoft Endpoint Manager e invia i dati di Microsoft Defender for Endpoint.
   • Personalizza le impostazioni.
     • Consente di attivare singolarmente le opzioni previste dalle impostazioni predefinite.
7. Se scegli Personalizza le impostazioni, conferma la richiesta Crea applicazione AAD e procedi come segue:
   1. Scegli se caricare tutti i dispositivi gestiti da Microsoft Configuration Manager oppure una raccolta di dispositivi specifica.
   2. Per abilitare l’impostazione, seleziona la casella accanto a Endpoint Analytics, Controllo degli accessi in base al ruolo e Microsoft Defender for Endpoint.
8. Seleziona Avanti per passare alla fase di abilitazione, quindi scegli quale gruppo di dispositivi verrà registrato automaticamente in Intune.
   • Tutti: carica automaticamente in Intune tutti i dispositivi idonei.
   • Pilota: consente all’amministratore di selezionare una raccolta specifica come gruppo pilota per i test.
   • Nessuno: disabilita il co-management per tutti i dispositivi.
9. Completa i passaggi della Configurazione guidata di Cloud Attach premendo Avanti fino alla scheda Completamento, quindi premi Chiudi.

Metodo di registrazione 2: registrazione automatica tramite GPO per i dispositivi con aggiunta ibrida a Microsoft Entra

📌 Situazione d’uso: gli amministratori che gestiscono dispositivi on-prem con SCCM aggiunti tramite Hybrid Azure AD possono registrarli in modo centralizzato tramite GPO.

📌 Prerequisiti:

• Almeno Windows 10 versione 1709 o successiva
• Dispositivi Configuration Manager con aggiunta ibrida a Microsoft Entra
• Registrazione automatica abilitata nell’interfaccia di amministrazione di Microsoft Intune
• WinRM e comunicazione remota PowerShell (facoltativi per aggiornare i Criteri di gruppo)

⚠️ Importante: una GPO configurata male per la registrazione automatica provoca stati di aggiunta parziali o registrazioni a Intune non riuscite. (Vedi ⚠️ Aspetti da tenere d’occhio.)

1. Apri la Console Gestione Criteri di gruppo.
2. Fai clic con il tasto destro su Oggetti Criteri di gruppo, premi Nuovo e assegna un nome alla GPO.
   • Ad esempio, Hybrid Azure AD Auto Enrollment
3. Fai clic con il tasto destro sulla GPO appena creata e seleziona Modifica.
4. Segui questo percorso:

Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows > MDM

5. Fai doppio clic su Abilita registrazione MDM automatica usando le credenziali di Azure AD predefinite e imposta la policy su Abilitato.
6. Apri il menu a discesa accanto a Seleziona il tipo di credenziali da usare e scegli Credenziali utente.
   • Premi Applica e OK per applicare la configurazione della policy, quindi chiudi la finestra.
7. Fai clic con il tasto destro sulla UO di destinazione, seleziona Collega oggetto Criteri di gruppo esistente…, scegli la GPO di registrazione automatica sotto Oggetti Criteri di gruppo e premi OK.
8. Per applicare la modifica, inserisci lo script seguente in una sessione PowerShell con privilegi elevati:

Import-Module ActiveDirectory
Get-ADComputer -SearchBase "OU=Workstations,DC=yourdomain,DC=com" -Filter * | ForEach-Object {
Invoke-Command -ComputerName $_.Name -ScriptBlock { gpupdate /force } -ErrorAction SilentlyContinue
}

• • Sostituisci “OU=Workstations,DC=yourdomain,DC=com” con il nome distinto (DN) della tua UO di destinazione.

Metodo di verifica 1: diagnostica da riga di comando con dsregcmd

📌 Situazioni d’uso: dopo aver registrato automaticamente un dispositivo in Intune tramite Hybrid Azure AD Join, gli amministratori possono usare dsregcmd per verificarne lo stato di co-management. Lo stesso comando serve anche come strumento diagnostico quando la registrazione del dispositivo in Intune è parziale o non riesce.

📌 Prerequisiti: dispositivo registrato in co-management.

1. Premi Win + R, digita cmd, quindi seleziona OK.
2. Inserisci il comando seguente:

dsregcmd.exe /status

3. Cerca i seguenti output e verificane lo stato:

Impostazione	Significato dell’impostazione	Stato richiesto
AzureADJoined	Conferma se il dispositivo è aggiunto a Entra ID	YES
MDMUrl	Indica la registrazione MDM del dispositivo	Deve corrispondere a un URL di Intune. Ad esempio: https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
DeviceAuthStatus	Conferma se l’autenticazione del dispositivo con Entra ID è andata a buon fine	SUCCESS

• • Se queste impostazioni non sono allineate, il collegamento di co-management può non funzionare.

Metodo di verifica 2: controllare lo stato del co-management nel Registro di sistema

📌 Situazioni d’uso: dopo aver registrato un dispositivo SCCM in Intune, puoi verificarne lo stato di co-management con l’Editor del Registro di sistema.

📌 Prerequisiti:

• Dispositivo registrato in co-management.
• Windows 10, versione 1607 o successiva.

💡 Nota: questa sezione serve esclusivamente a verificare la registrazione MDM e lo stato di co-management di un dispositivo tramite il Registro di sistema. Modificare i valori nel Registro può causare instabilità e malfunzionamenti del dispositivo.

1. Premi Win + R, digita regedit, quindi seleziona OK.
2. Segui questo percorso:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments

3. Espandi le sottochiavi GUID all’interno di Enrollments e cerca i valori che indicano lo stato della registrazione MDM.
   • DiscoveryServiceFullURL: contiene l’URL per la registrazione a Intune.
   • UPN: specifica l’identità Microsoft Entra dell’utente usata per la registrazione.
   • EnrollmentType: indica la registrazione MDM, di solito impostata su 6.
   • EnrollmentID: contiene l’ID univoco assegnato alla sessione MDM.
4. Poi vai al percorso seguente per verificare lo stato di co-management del dispositivo.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DeviceManageabilityCSP\CoManagement

5. Cerca i seguenti valori DWORD (32 bit),
   • CoManagementEligible = 1: indica che il dispositivo è idoneo al co-management.
   • CoManagementConfigured = 1: il co-management è attivo sul dispositivo.

Metodo di verifica 3: controllo dello stato del co-management e gestione dei carichi di lavoro tramite PowerShell

📌 Situazioni d’uso: gli amministratori possono usare PowerShell per verificare lo stato del co-management e gestire le impostazioni dei carichi di lavoro dei dispositivi.

📌 Prerequisiti:

• Modulo PowerShell di Configuration Manager
• Accesso a Microsoft Graph Intune PowerShell SDK
• Dispositivo che supporta il co-management

⚠️ Importante: quando lavori con il prompt di PowerShell, i cmdlet e la sintassi degli script devono essere precisi. (Vedi ⚠️ Aspetti da tenere d’occhio.)

1. Apri la console di Configuration Manager.
2. Fai clic con il tasto destro in un punto qualsiasi dell’area di navigazione della console, quindi seleziona Connetti tramite Windows PowerShell.
3. Inserisci il cmdlet qui sotto per controllare la configurazione globale del co-management nell’intero ambiente SCCM:

Get-CMCoManagementConfiguration

• • Questo cmdlet mostra se il co-management è configurato, quali carichi di lavoro sono gestiti da Intune e quale metodo è stato usato per la registrazione.
  • Puoi usare i cmdlet anche per configurare le impostazioni di co-management in SCCM.
    • Ad esempio, questo comando avvia il co-management in modalità pilota su un gruppo di test:

Set-CMCoManagementPolicy -PolicyName "CoMgmtPolicy01" -AutoEnroll $true -PilotCollectionName "CoMgmtPilot" -Workloads "CompliancePolicy","WindowsUpdate"

4. Per verificare i dispositivi registrati in Intune, apri un prompt PowerShell con privilegi elevati ed esegui separatamente i comandi seguenti:
   • Per installare i moduli PowerShell necessari:

Install-Module Microsoft.Graph.Intune

• • • Salta questo passaggio se il modulo è già installato.
  • Dopo l’installazione, connettiti a Graph inserendo quanto segue:

Connect-MSGraph

• • • Ti verrà chiesto di accedere con il tuo account amministratore.
  • Esegui il cmdlet seguente per visualizzare i tuoi dispositivi Intune:

Get-IntuneManagedDevice

Best practice per la transizione dei carichi di lavoro

Quando si abilita il co-management, conviene spostare i carichi di lavoro gradualmente, invece di trasferire subito tutte le responsabilità di gestione a Intune.

Ecco le best practice consigliate:

• Inizia da raccolte di dispositivi pilota
• Sposta un carico di lavoro alla volta
• Monitora i conflitti tra policy durante la migrazione
• Verifica il reporting sulla conformità prima di estendere la distribuzione
• Mantieni una chiara separazione delle responsabilità tra i carichi di lavoro di ConfigMgr e quelli di Intune
• Documenta le procedure di rollback prima del passaggio in produzione

Una distribuzione a fasi riduce al minimo le sovrapposizioni tra policy e il rischio di comportamenti incoerenti degli endpoint.

⚠️ Aspetti da tenere d’occhio

Rischi	Possibili conseguenze	Come rimediare
Integrare direttamente tutti i dispositivi SCCM in Intune.	Abilitare il co-management sui dispositivi SCCM senza una pianificazione adeguata e senza spostare i carichi di lavoro per gradi può generare conflitti tra policy e comportamenti incoerenti dei dispositivi.	Testa il co-management su gruppi pilota piccoli e a basso rischio per verificare la coerenza del comportamento tra i dispositivi, quindi sposta gradualmente i carichi di lavoro su Intune.
Errori di configurazione delle GPO.	Gli errori di configurazione possono causare stati di aggiunta parziali o non riusciti, interrompendo il processo di registrazione al co-management.	Assicurati che i dispositivi SCCM che stai integrando con Intune abbiano l’aggiunta ibrida e verifica la GPO prima di collegarla a una UO.
Conflitti tra più MDM.	Più registrazioni MDM possono sovrapporsi, generando conflitti e compromettendo il funzionamento del co-management.	Rimuovi le registrazioni MDM esistenti, assegna la responsabilità dei carichi di lavoro tra SCCM e Intune, quindi registra di nuovo i dispositivi seguendo le strategie di registrazione al co-management consigliate.
Tornare da una registrazione in Intune a un ambiente solo SCCM.	Quando si torna a un ambiente solo SCCM, Intune può lasciare impostazioni residue che interferiscono con il comportamento di SCCM e con il controllo dei carichi di lavoro.	Riporta i carichi di lavoro assegnati a Intune su SCCM (ConfigMgr), quindi ritira il dispositivo da Intune.
Errori di battitura negli script e nei cmdlet di PowerShell.	Refusi e imprecisioni di sintassi in PowerShell possono portare a errori e configurazioni sbagliate.	Ricontrolla la sintassi degli script prima di eseguirli, oppure copia direttamente quelli forniti in questa guida per evitare refusi.

Carichi di lavoro gestiti più di frequente con il co-management

Il co-management di Microsoft permette agli amministratori di spostare gradualmente specifici carichi di lavoro degli endpoint da Configuration Manager a Intune. Invece di migrare tutto in una volta, le organizzazioni possono procedere per gradi, verificando il comportamento delle policy e la conformità dei dispositivi.

Tra i carichi di lavoro più comuni in co-management ci sono:

• Policy di conformità
• Policy di Windows Update
• Endpoint Protection
• Profili di accesso alle risorse
• Policy di configurazione dei dispositivi
• App Office Click-to-Run
• App client
• Gestione di BitLocker

Molte organizzazioni iniziano dalle policy di conformità o da Windows Update for Business, per poi spostare carichi di lavoro più complessi.

Aspetti chiave del co-management tra SCCM e Intune

Anche se il co-management unisce le funzionalità di SCCM e Intune, è importante conoscere alcuni fattori che ne influenzano il funzionamento. Gli aspetti chiave che seguono riguardano i limiti e i vincoli delle piattaforme che, in determinate condizioni, possono ridurre l’efficacia del co-management.

Limiti di Device Enrollment Manager (DEM)

Device Enrollment Manager permette agli amministratori di registrare i dispositivi in Intune, ma non offre la valutazione dell’identità utente necessaria per la gestione ibrida. Per ovviare al problema, usa Microsoft Entra ID per la registrazione automatica e garantire la compatibilità con il co-management.

Il co-management riguarda solo i dispositivi Windows

Anche se Intune supporta altri sistemi operativi, come Linux e macOS, SCCM funziona esclusivamente con Windows: di conseguenza il co-management è limitato ai dispositivi Windows.

Risoluzione dei problemi di co-management tra SCCM e Intune

Problema n. 1: il dispositivo non si registra in Intune

La registrazione in Intune può non riuscire per licenze insufficienti, GPO collegate in modo errato o un’aggiunta del dispositivo a Hybrid Azure AD non corretta. Verificare che tutti e tre i requisiti siano soddisfatti aiuta a garantire l’idoneità alla registrazione MDM automatica.

Problema n. 2: policy in conflitto tra SCCM e Intune

Le policy di SCCM e Intune possono entrare in conflitto sulla responsabilità di determinate aree di gestione, come gli aggiornamenti di Windows e le policy di conformità. Se non si coordinano, il risultato può essere un comportamento incoerente o la mancata applicazione delle policy.

Nel co-management, i cursori dei carichi di lavoro assegnano le attività di gestione dei dispositivi a un’autorità, che in questo caso è Configuration Manager oppure Intune.

Gli amministratori possono regolare questi cursori all’interno dei gruppi pilota per capire quale configurazione funziona meglio prima della distribuzione generale.

Problema n. 3: Configuration Manager non risulta in co-management

Se il client di Configuration Manager non risulta in co-management, gli amministratori possono verificarne lo stato controllando ComanagerHandler.log. Questo log conferma se la policy di co-management è stata applicata, se la registrazione a Intune è stata avviata e se si sono verificati errori durante il processo.

Per farlo, vai su C:\Windows\CCM\Logs\CoManagementHandler.log e cerca i log relativi al co-management.

Problema n. 4: l’aggiunta ibrida a Microsoft Entra non riesce

Quando l’aggiunta ibrida a Microsoft Entra non riesce, le cause più probabili sono un Service Connection Point (SCP) mancante o configurato male, oppure impostazioni errate di Microsoft Entra ID.

Puoi verificarle con PowerShell inserendo i comandi seguenti:

1. Inserisci quanto segue per importare il modulo AD:

Import-Module ActiveDirectory

2. Inserisci quanto segue per interrogare l’oggetto SCP:

Get-ADObject -SearchBase "CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=yourdomain,DC=com" `
-Filter * -Properties keywords

• • Sostituisci yourdomain e com con i componenti del tuo dominio.

3. A questo punto dovresti vedere il nome del tenant di Microsoft Entra Connect Sync, il GUID e se la registrazione dei dispositivi è abilitata.
   • Se la proprietà keywords è vuota, è possibile che l’SCP non sia stato configurato durante l’installazione di Azure AD Connect.
   • Come soluzione alternativa, esegui di nuovo Microsoft Entra Connect Sync > Configure device options, quindi abilita l’aggiunta ibrida a Microsoft Entra per la foresta corretta.

Come NinjaOne supporta i carichi di lavoro in co-management

Il co-management offre un controllo granulare sui carichi di lavoro degli endpoint, sia on-prem che da remoto, e NinjaOne può potenziare questa configurazione grazie alle seguenti caratteristiche:

Servizio NinjaOne	Definizione	Come aiuta i carichi di lavoro in co-management
Visibilità multipiattaforma	La visibilità multipiattaforma consente agli amministratori di gestire endpoint con sistemi operativi diversi da un unico software.	NinjaOne offre monitoraggio e gestione degli endpoint con visualizzazione centralizzata per gli ambienti in co-management.
Gestione degli utenti di Active Directory	Gli amministratori gestiscono di solito Active Directory tramite console ADUC o cmdlet di PowerShell, un approccio ripetitivo e poco efficiente su larga scala.	Visualizza, gestisci ed esegui attività sugli endpoint, integrandoti con Active Directory per semplificare la gestione degli account utente da un’unica piattaforma.
Scripting	Pur non essendo obbligatorio, lo scripting permette di automatizzare le attività ripetitive, soprattutto nei trasferimenti massivi di carichi di lavoro all’interno di ambienti in co-management.	Gli amministratori possono usare NinjaOne per distribuire da remoto script PowerShell che verificano o documentano lo stato del co-management, utili per confermare la prontezza e la conformità dei dispositivi.
Monitoraggio proattivo in tempo reale e avvisi automatizzati	Il monitoraggio in tempo reale e gli avvisi automatizzati tengono gli amministratori aggiornati su stato, prestazioni e conformità degli asset IT.	I team IT possono impostare avvisi personalizzati quando i dispositivi non sono più sincronizzati o saltano un trasferimento di carico di lavoro, riducendo i possibili tempi di inattività.
Tag con campi personalizzati	I tag con campi personalizzati classificano gli endpoint in base al metodo di gestione: solo SCCM, solo Intune o in co-management.	Con NinjaOne gli amministratori possono creare campi personalizzati per organizzare i dati a fini di reporting, audit e inventario.

Gestire i carichi di lavoro tra SCCM e Intune con il co-management

Il co-management permette agli amministratori di distribuire i carichi di lavoro tra SCCM e Intune, con la flessibilità di scegliere tra gestione on-prem e remota. Abilitandolo, MSP e team IT possono spostarsi gradualmente verso carichi di lavoro moderni e cloud-native senza rinunciare agli investimenti on-prem già fatti.

Gli amministratori possono integrare SCCM e Intune dalla console di Configuration Manager oppure tramite GPO per i dispositivi con aggiunta ibrida ad Azure AD. Una volta abilitato il co-management, lo stato si può verificare con CMD, il Registro di sistema o PowerShell.

Argomenti correlati:

• Intune e SCCM a confronto: le soluzioni Microsoft
• Come scegliere lo strumento giusto per la distribuzione del software: Intune o NinjaOne – il punto di vista di un utente
• SCCM e WSUS a confronto: quello che devi sapere