Come eseguire l’enrollment in blocco dei dispositivi in Intune con PowerShell

Immagina di registrare manualmente in Intune 100 nuovi portatili aziendali: una sequenza infinita di clic, errori di digitazione da correggere e ore buttate via. L’enrollment in blocco dei dispositivi Windows risolve il problema automatizzando l’intero processo con PowerShell.

In questa guida scoprirai come registrare i dispositivi su larga scala senza intoppi e applicare policy uniformi, che tu debba gestire 20 dispositivi o 2.000.

Vai direttamente alle strategie di distribuzione consigliate:

Fai clic per scegliere un metodo	💻 Ideale per singoli utenti	💻💻💻 Ideale per contesti enterprise
Metodo PowerShell 1	✓	✓
Metodo PowerShell 2	✓	✓
Metodo PowerShell 3	✓	✓
Opzione alternativa 1: CMD nelle operazioni batch	✓
Opzione alternativa 2: Criteri di gruppo		✓

La panoramica video Come eseguire l’enrollment in blocco dei dispositivi in Intune con PowerShell illustra tutti e tre i metodi con PowerShell.

Metodi di enrollment in blocco dei dispositivi con PowerShell

Automatizzare l’onboarding dei dispositivi con PowerShell ti permette di distribuire, configurare e proteggere in modo uniforme più dispositivi Windows 10/11 in pochi minuti, non in settimane.

Situazione d’uso: questo approccio è ideale per la distribuzione di nuovi dispositivi o per aggiornamenti estesi a tutta l’azienda. Consente inoltre di configurare i dispositivi senza doverli raggiungere fisicamente. Garantisce che ogni dispositivo del tuo dominio riceva policy e applicazioni identiche fin dal primo giorno.

Prerequisiti: prima di iniziare, assicurati di disporre di quanto segue:

• Licenze: tenant Microsoft Entra ID (in precedenza Azure AD) con licenze Intune/Microsoft Endpoint Manager
• Autorizzazioni: diritti di amministratore globale di Microsoft Entra o di amministratore Intune
• Compatibilità OS: dispositivi con Windows 10/11 Pro, Enterprise o Education (Windows 10 ha raggiunto l’EOS il 14 ottobre 2025: l’enrollment è ancora possibile, ma Microsoft non garantisce la piena funzionalità, quindi le nuove distribuzioni dovrebbero basarsi su Windows 11)
• Strumenti: PowerShell 5.1+ (o PowerShell 7.x per le funzionalità più recenti) e Microsoft Graph PowerShell SDK
• Facoltativo:
  • Autopilot: configurato per l’enrollment zero-touch
  • Aggiunta ibrida a Microsoft Entra: richiede la sincronizzazione con Microsoft Entra Connect e un Service Connection Point (SCP)

Prima di procedere, è consigliabile leggere Aspetti a cui prestare attenzione.

Metodo 1: enrollment in blocco con script PowerShell manuali

Questo approccio pratico ti consente di automatizzare l’enrollment in Intune di gruppi di dispositivi Windows 11 già esistenti. Si usa per i dispositivi configurati a lotti o tramite imaging.

Situazione d’uso: ideale quando ridistribuisci dispositivi che eseguono già Windows 10/11, hai accesso fisico ai dispositivi e devi registrarli senza una pre-registrazione in Autopilot.

Procedura passo per passo:

1. Avvia l’enrollment:
   • Su un dispositivo enterprise, apri PowerShell (Amministratore) ed esegui questo script:

Start-Process "C:\Windows\System32\DeviceEnroller.exe" -ArgumentList "/c /AutoEnrollMDM"

• • Questo comando registra il dispositivo in Intune in modalità silenziosa, usando l’identità Microsoft Entra ID esistente

2. Verifica lo stato dell’enrollment:
   • Esegui questo script: $dsreg = dsregcmd /status
3. Forza l’aggiunta a Microsoft Entra (se necessario):
   • Esegui questo script: dsregcmd /join
4. Automatizza su larga scala:
   • Distribuisci questi script da remoto con strumenti come:
     1. Utilità di pianificazione di Windows per i dispositivi locali, oppure;
     2. Strumenti di distribuzione come NinjaOne per automatizzare l’operazione su tutto il dominio della tua rete enterprise.

Questo metodo sfrutta gli strumenti integrati di Windows (DeviceEnroller.exe/dsregcmd) per avviare l’enrollment. Al termine della registrazione, applica automaticamente anche le policy e le applicazioni di Intune.

Metodo 2: caricamento manuale degli ID hardware dei dispositivi per Autopilot con PowerShell

Acquisisci e registra in anticipo le impronte hardware dei dispositivi per abilitare un vero enrollment in blocco zero-touch in Intune per i nuovi dispositivi Windows 11.

Situazione d’uso: ideale quando ricevi nuovi dispositivi direttamente dai produttori. Permette di preparare l’esperienza out-of-box (OOBE) senza alcun intervento di configurazione da parte dell’IT.

Procedura passo per passo:

1. Prepara l’ambiente:
   • Su un dispositivo enterprise, apri PowerShell (Amministratore) ed esegui questo script:

[Net.ServicePointManager]::SecurityProtocol =
[Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
strong>Set-Location -Path "C:\HWID"

2. Installa lo script e acquisisci gli hash:
   • Esegui questo script per esportare in CSV gli hash hardware (o ID hardware) di ciascun dispositivo:

$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

3. Consolida e carica gli hash:
   • Carica manualmente tutti i CSV tramite portale Intune > Dispositivi > Registra dispositivi > Importa (Windows Autopilot).
4. Automatizza la raccolta:
   • Integra lo script in:
     1. Pipeline di build: esecuzione durante l’imaging dell’OS (ad esempio nelle sequenze di attività MDT/SCCM).
     2. Strumenti RMM: usa strumenti di distribuzione come NinjaOne per eseguirlo come script dell’agente.
     3. Configurazione al primo avvio: aggiungilo a SetupComplete.cmd di Windows.

Questa procedura associa tutti gli hash hardware ad Autopilot, avviando l’enrollment automatico alla prima accensione da parte degli utenti. Elimina la registrazione manuale di ogni singolo dispositivo e può essere eseguita fin dall’inizio, subito dopo aver tolto il dispositivo dalla confezione.

Metodo 3: caricamento diretto degli hash hardware in Intune con PowerShell

Questo metodo acquisisce e carica gli hash hardware in Intune senza dover gestire manualmente un CSV per ogni dispositivo.

Situazione d’uso: questa procedura è ideale per registrare immediatamente singoli dispositivi.

Procedura passo per passo:

1. Prepara l’ambiente e installa il modulo Autopilot:
   • Su un dispositivo enterprise, apri PowerShell (Amministratore) ed esegui questo script:

[Net.ServicePointManager]::SecurityProtocol =
[Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutoPilotInfo -Force<

2. Acquisisci gli hash hardware:
   • Esegui questo script per esportare gli hash hardware (o ID hardware) e caricarli automaticamente in Autopilot: Get-WindowsAutopilotInfo -Online

Nota: se richiesto, acconsenti all’installazione di NuGet da PSGallery.

Dopo l’esecuzione di questo comando compare una richiesta di accesso a Microsoft Entra ID. Accedi con un account amministratore di Intune.

• Dopo un accesso riuscito, gli hash dei dispositivi vengono caricati automaticamente.

3. Verifica che l’hash hardware sia stato caricato correttamente:
   • Nella schermata iniziale dell’interfaccia di amministrazione Intune, seleziona Dispositivi nel pannello a sinistra.
     1. In Per piattaforma, seleziona Windows, quindi segui questi passaggi:
     2. Nella schermata dei dispositivi Windows, in Onboarding dei dispositivi, seleziona Registrazione.
     3. Nella schermata Registrazione, in Windows Autopilot, seleziona Dispositivi.
     4. Nella schermata dei dispositivi Autopilot, seleziona Sincronizza nella barra degli strumenti.
     5. Attendi il completamento della sincronizzazione, che può richiedere diversi minuti.

Al termine della sincronizzazione, i dispositivi compariranno nell’elenco della schermata dei dispositivi Windows Autopilot in Intune.

Metodi alternativi per registrare i dispositivi in Intune in blocco

Per le distribuzioni su larga scala in cui PowerShell non è praticabile, queste alternative collaudate semplificano l’enrollment in blocco dei dispositivi Azure in Intune usando gli strumenti nativi di Microsoft.

Prerequisiti: prima di iniziare, assicurati di disporre di quanto segue:

• Licenze: tenant Microsoft Entra ID con licenze Intune/Microsoft Endpoint Manager.
• Autorizzazioni: diritti di amministratore globale di Microsoft Entra o di amministratore Intune.
• Strumenti: Prompt dei comandi e Criteri di gruppo con i modelli configurati per l’MDM
• Facoltativo:
  1. Autopilot: configurato per l’enrollment zero-touch.
  2. Aggiunta ibrida a Microsoft Entra: richiede la sincronizzazione con Microsoft Entra o Azure AD Connect e un Service Connection Point (SCP).

Opzione alternativa 1: tecniche CMD e dsregcmd nelle operazioni batch

Per controlli rapidi sui dispositivi o per avviare l’enrollment in modo semplice su più macchine Windows 11, gli script basati su CMD offrono un’alternativa leggera a PowerShell.

Situazioni d’uso: è ideale negli ambienti che utilizzano strumenti RMM meno recenti, orientati ai file batch. Aiuta anche a verificare lo stato dell’enrollment sui dispositivi senza accesso a PowerShell.

Procedura passo per passo:

1. Crea il tuo file batch:
   • Apri il Blocco note (cercalo nella barra delle applicazioni in basso sul desktop).
   • Aggiungi il comando riportato di seguito.
   • Salvalo assegnandogli un nome in base all’azione che esegue.
     1. Assicurati che il tipo di file sia impostato su Tutti i file.
2. Crea un file bat per lo stato dell’enrollment (in blocco):

• • Apri il Prompt dei comandi (Amministratore) ed esegui questo comando:

@echo off
FOR /F %%i IN (C:\Lists\hostnames.txt) DO (
PSEXEC \\%%i dsregcmd /status > \\SERVER\StatusLogs\%%i_status.txt
)

• • In questo modo raccogli lo stato Microsoft Entra ID/Intune di tutti i dispositivi presenti nel tuo elenco di hostname.

3. Forza l’aggiunta a Microsoft Entra:
   • Crea Force_Join.bat: dsregcmd /join
   • Distribuiscilo da remoto tramite:

PSEXEC @hostnames.txt -u ADMIN_USER -p PASSWORD cmd /c “dsregcmd /join”

4. Avvia l’enrollment in Intune:
   • Esegui direttamente sui dispositivi:

start “” "C:\Windows\System32\deviceenroller.exe" /c /AutoEnrollMDM

5. Distribuisci sui dispositivi enterprise:
   • Distribuisci i file batch sui dispositivi del tuo dominio utilizzando strumenti RMM.

Opzione alternativa 2: Criteri di gruppo per l’enrollment automatico in MDM negli ambienti ibridi

Sfrutta l’infrastruttura Active Directory esistente per automatizzare l’enrollment in blocco in Intune dei dispositivi Windows 11 aggiunti al dominio

Situazioni d’uso: ideale per le organizzazioni con ambienti Microsoft Entra ID ibridi, per preparare grandi parchi dispositivi durante la distribuzione dell’OS e per applicare policy di enrollment a livello di intera organizzazione.

Procedura passo per passo:

1. Apri la console Gestione Criteri di gruppo:
   • Avvia gpmc.msc sul tuo domain controller.
2. Raggiungi le policy MDM:
   • Vai a: Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows > MDM
3. Abilita l’enrollment automatico:
   • Fai clic con il pulsante destro del mouse, quindi seleziona Modifica criterio:
     1. Abilita: Registrazione automatica MDM con credenziali Microsoft Entra predefinite.
     2. Imposta il tipo di credenziali: Credenziale del dispositivo
4. Applica e forza l’aggiornamento:
   • Collega il criterio alla UO di destinazione.
   • Forza l’aggiornamento immediato sui dispositivi eseguendo questo comando nel Prompt dei comandi (Amministratore): gpupdate /force
5. Suggerimento per la distribuzione in blocco:
   • Applica questo comando durante l’imaging tramite Prompt dei comandi (Amministratore):

FOR /F %i IN (device_list.txt) DO psexec \\%i gpupdate /force

⚠️ Aspetti a cui prestare attenzione

Questa sezione evidenzia le possibili difficoltà da tenere presenti mentre segui la guida.

Rischi	Possibili conseguenze	Come rimediare
1. Hash hardware errati (metodo 2/3)	I dispositivi non completano l’enrollment in Autopilot Il pre-provisioning OEM (produttore di apparecchiature originali) non funziona	Estrai di nuovo gli hash con Get-WindowsAutoPilotInfo. Elimina le voci non valide dal portale Intune > Carica di nuovo.
2. Account DEM sovraccarichi (tutti i metodi)	L’enrollment si blocca al limite di 15 dispositivi per utente Policy applicate in modo errato	Usa account DEM dedicati. Monitora con: Get-MgDeviceManagement ManagedDevice-Filter “enrollmentState eq ‘enrolled'”
3. GPO configurati in modo errato (Criteri di gruppo)	Enrollment accidentale su tutta l’organizzazione Errori nell’aggiunta ibrida	Esegui il backup dei GPO prima di modificarli. Isola prima la UO di test. Ripristino: gpupdate /force quindi disabilita il criterio
4. Registro di sistema danneggiato (CMD/PowerShell)	Errori di dsregcmd Cicli infiniti di aggiunta a Microsoft Entra ID	Esporta il registro di sistema: reg export HKLM\SYSTEM \CurrentControlSet\Services \dsregcmd backup.reg</strong Ripristina con reg import.
5. Profilo Autopilot non corrispondente (metodi 2-3)	Ai dispositivi vengono assegnate applicazioni/policy sbagliate Violazioni della conformità di sicurezza	Assegna un doppio tag ai dispositivi nel CSV. Riassegna i profili con: Update-MgDeviceManagement WindowAutopilotDeployment ProfileAssignment
6. Problemi di TPM su Windows 11 (tutti i metodi)	L’enrollment si blocca su hardware non compatibile	Verifica il TPM 2.0: Get-Tpm Abilita l’Avvio protetto nel BIOS prima dell’imaging.

Aspetti chiave dell’enrollment in blocco dei dispositivi in Intune

Automatizzare l’enrollment su larga scala richiede una pianificazione accurata. Ecco a cosa dare priorità per un enrollment in blocco dei dispositivi Windows senza intoppi, soprattutto su Windows 11.

L’accesso agli endpoint Microsoft è imprescindibile

Durante la configurazione, i dispositivi devono poter raggiungere URL Microsoft fondamentali come enterpriseregistration.windows.net e login.microsoftonline.com. Gli endpoint bloccati causano errori di enrollment: verifica quindi sempre la connettività con Test-NetConnection prima della distribuzione.

Autopilot si basa sugli hash hardware

Ogni dispositivo richiede un hash hardware univoco (acquisito con Get-WindowsAutoPilotInfo) pre-registrato nel tuo tenant. Per un vero zero-touch, carica gli hash prima che i dispositivi vengano spediti, tenendo presente che i dispositivi Windows 11 richiedono inoltre TPM 2.0 e l’Avvio protetto abilitato.

I gruppi dinamici automatizzano le configurazioni

Assegna le policy immediatamente creando gruppi dinamici di Microsoft Entra ID con regole come (device.devicePhysicalIDs -contains “[ZTDId]”). I nuovi dispositivi ricevono automaticamente applicazioni, policy di conformità e impostazioni di sicurezza al momento dell’enrollment.

Un’alternativa più recente: preparazione dei dispositivi Windows Autopilot

Microsoft offre anche la preparazione dei dispositivi Windows Autopilot, un flusso di distribuzione basato su policy per i dispositivi Windows 11 aggiunti a Microsoft Entra che non richiede la pre-registrazione degli hash hardware. È un’opzione più leggera che vale la pena valutare insieme ai metodi basati sugli hash hardware descritti in questa guida, anche se non copre ancora tutti gli scenari gestiti dal flusso Autopilot classico.

Come i servizi NinjaOne possono migliorare l’enrollment in blocco

NinjaOne potenzia i metodi di enrollment in blocco descritti in questa guida, automatizzando i flussi di lavoro PowerShell e CMD per Windows 11 su larga scala.

• Distribuisci i tuoi script da remoto: invia gli stessi script PowerShell/CMD dei metodi 1-3 a migliaia di dispositivi, senza alcuna esecuzione manuale.
• Pianifica e monitora le attività principali:
  • Automatizza: la raccolta degli hash per Autopilot (Metodo 2), i controlli dello stato con dsregcmd (Metodo 1) e le sincronizzazioni (Metodo 3), con report in tempo reale su esiti positivi e negativi.
• Individua subito le lacune: scopri quali dispositivi non hanno completato l’enrollment, sono privi di TPM 2.0 o superano il limite degli account DEM.
• Correggi automaticamente i problemi: avvia interventi come la nuova esecuzione di DeviceEnroller.exe, l’aggiunta forzata a Microsoft Entra ID e gli avvisi per gli hash non corrispondenti.

Rendi più efficiente l’enrollment in blocco dei dispositivi in Intune con PowerShell

L’enrollment in blocco dei dispositivi Windows trasforma il caos dei dispositivi in una precisione automatizzata. Ora hai gli strumenti per automatizzare l’enrollment con script PowerShell, scalare in sicurezza con account DEM e gruppi dinamici e distribuire con fiducia da 20 a 20.000 dispositivi Windows 10/11. Ore di configurazione manuale si riducono a pochi minuti.

Argomenti correlati

• Come registrare i dispositivi Azure in Intune
• Come aggiungere un dispositivo aziendale alla gestione dispositivi di Intune
• Come aggiungere un dispositivo BYOD alla gestione dispositivi di Intune
• Come distribuire le applicazioni con l’interfaccia di amministrazione di Microsoft Intune