Guida completa: policy di conformità e accesso condizionale in Intune

Una policy di conformità di Intune permette alle organizzazioni e agli MSP di applicare in modo efficiente standard di sicurezza su tutta la rete IT. In alcuni scenari, un team IT può usare Microsoft Intune insieme a un RMM o come alternativa, nonostante la sua scalabilità limitata. Usa questa guida come punto di partenza per definire e gestire le policy con Intune e Azure AD (Entra ID)

Conformità basata sul dispositivo e conformità basata sulle app

Nelle modalità di lavoro BYOD (Bring Your Own Device), i dispositivi di proprietà dei dipendenti non registrati in Intune MDM di norma non possono comunicare uno stato di conformità completo. Di conseguenza, non riescono a soddisfare le policy di accesso condizionale che richiedono un “dispositivo contrassegnato come conforme”. In questi casi, le organizzazioni dovrebbero usare le policy di protezione delle app di Intune (MAM) insieme all’accesso condizionale basato sulle app, che protegge i dati aziendali a livello di applicazione senza richiedere la registrazione completa del dispositivo.

Le policy di conformità basate sul dispositivo, invece, si appoggiano a Intune per registrare e gestire i dispositivi: in questo modo Intune raccoglie i dati di conformità (come versione dell’OS, stato della crittografia, configurazione dell’antivirus) e li trasmette a Microsoft Entra ID, così che l’accesso condizionale possa prendere decisioni di accesso in tempo reale.

Vuoi un riepilogo visivo? Guarda il nostro video Guida completa: policy di conformità e accesso condizionale in Intune.

Metodi per creare e gestire le policy di Intune

Consulta la tabella qui sotto per capire se fanno al caso tuo le policy di conformità di Intune o l’accesso condizionale. Per cominciare, ecco alcuni prerequisiti da considerare:

• Licenze Intune assegnate agli utenti interessati.
• Tenant Microsoft 365 con Entra ID.
• I dispositivi devono essere registrati in Intune (Windows, Android, iOS/iPadOS, macOS).
• È necessario l’accesso a Microsoft Endpoint Manager Admin Center e al pannello Accesso condizionale di Entra ID.

Puoi anche passare direttamente alla sezione Aspetti a cui prestare attenzione per ottimizzare il tuo piano d’azione e gestire i rischi.

Metodo 1: creare una policy di conformità con Intune

Puoi creare le policy di conformità direttamente in Microsoft Intune, così che solo i dispositivi sicuri e autorizzati possano accedere alle risorse aziendali.

1. Vai su intune.microsoft.com.
2. Vai su Dispositivi → Dispositivi gestiti → Conformità → Crea policy.
3. Seleziona una piattaforma (ad esempio Windows 10/11, iOS, Android Enterprise).
4. Per iniziare, ecco alcuni esempi di impostazioni che puoi definire:
   • Requisiti della password: imponi complessità, lunghezza e scadenza.
   • Crittografia: imposta l’obbligo di BitLocker (Windows) o FileVault (macOS).
   • Firewall: verifica che sia abilitato e attivo.
   • Antivirus e antispyware di Defender: protezione in tempo reale, antispyware e antivirus devono essere abilitati e aggiornati.
   • Versione minima dell’OS: impedisci versioni dell’OS obsolete o non supportate.
   • Rilevamento di jailbreak/root (per i dispositivi mobili): blocca i dispositivi mobili compromessi.
5. In Azioni per la non conformità puoi configurare:
   • Un periodo di tolleranza (ad esempio da 1 a 30 giorni prima dell’intervento).
   • Il contrassegno del dispositivo come non conforme subito oppure al termine del periodo di tolleranza.
   • L’invio di email di notifica agli utenti o agli amministratori.
   • Il blocco o la cancellazione da remoto (se integrati con le policy di accesso condizionale).
6. Assegna la policy o applica filtri ai dispositivi o ai gruppi di utenti interessati per completarne la creazione.

Una volta distribuita, la policy di conformità valuta ogni dispositivo registrato rispetto ai criteri definiti, contribuendo a mantenere una rete IT sicura e conforme.

Metodo 2: creare policy di accesso condizionale in Entra AD

Le policy di accesso condizionale possono essere distribuite insieme alle policy di conformità per applicare controlli di accesso sui dispositivi endpoint. Questo metodo è preferibile per le distribuzioni su larga scala.

1. Vai su Entra ID → Sicurezza → Proteggi → Accesso condizionale → Crea nuova policy.
2. Scegli gli utenti o i gruppi a cui si applicherà la nuova policy.
3. Seleziona le app cloud interessate (ad esempio Exchange Online, SharePoint Online).
4. Definisci condizioni come:
   • Piattaforma del dispositivo (ad esempio iOS, Android, Windows)
   • Filtro sullo stato di conformità: richiedi solo dispositivi conformi
   • Facoltativo: filtra per rischio di accesso, posizione o app client
5. In Controlli di accesso puoi stabilire di concedere l’accesso solo se il dispositivo è contrassegnato come conforme e, facoltativamente, richiedere l’autenticazione a più fattori (MFA) per una sicurezza maggiore.
6. Testa la policy con un gruppo pilota prima della distribuzione su larga scala, così da evitare problemi di accesso.

Valuta di integrare l’accesso condizionale con le policy di conformità di Intune per rafforzare i protocolli di sicurezza e il controllo degli accessi degli utenti su tutta la rete.

Come verificare e controllare la conformità e l’applicazione delle policy

Questa sezione illustra metodi pratici per confermare che i dispositivi soddisfino i requisiti di conformità e che le policy siano applicate correttamente in tutto il tuo ambiente.

Puoi usare i seguenti metodi per valutare le tue policy:

1. Verifica tramite CMD e dsregcmd
2. Controllo dell’applicazione delle policy tramite il Registro di sistema
3. Uso di PowerShell per il monitoraggio e la valutazione
4. Configurazione dei criteri di gruppo per gli ambienti in co-gestione

1. Verificare la conformità in locale con CMD e dsregcmd

Usa il comando seguente per verificare che un dispositivo Windows sia aggiunto a Entra ID e registrato in Intune come previsto.

1. Usa la Ricerca 🔎 per aprire Terminale → Prompt dei comandi → Esegui come amministratore.
2. Esegui il comando seguente: dsregcmd /status.
3. Esamina l’output cercando questi indicatori chiave:
   • EntraIDJoined: YES – conferma che il dispositivo è aggiunto a Entra ID
   • MDMUrl: dovrebbe mostrare un URL di registrazione a Intune – conferma la registrazione MDM
   • DeviceCompliancePolicyReceived: YES – indica che le policy di conformità sono state ricevute
   • ComplianceState: Compliant – conferma che il dispositivo è attualmente in stato conforme

Questo metodo è utile per una verifica rapida e locale dello stato di conformità di un dispositivo in Entra ID e Intune, soprattutto durante la risoluzione dei problemi o i controlli precedenti alla distribuzione.

2. Controllare l’applicazione delle policy nel Registro di sistema di Windows

Ricorda che Intune scrive le impostazioni tramite i CSP (Configuration Service Provider), visibili solo nel percorso di registro PolicyManager.

1. Premi Win + R, digita regedit e seleziona OK per aprire l’Editor del Registro di sistema.
2. Raggiungi il percorso seguente oppure copialo e incollalo nella barra degli indirizzi del Registro di sistema. Se il percorso è incompleto, crea la chiave necessaria.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\

3. Esamina le chiavi (ad esempio SecurityKeys, BitLocker, Defender) per verificare se Intune ha applicato le policy come previsto.

Attenzione: la modifica del database può causare problemi al sistema. Crea un backup del Registro di sistema prima di procedere.

3. Usare PowerShell per monitorare la conformità e valutare l’accesso condizionale

Per eseguire gli script seguenti ti servono le autorizzazioni Graph API adeguate (ad esempio l’accesso come amministratore).

1. Usa la Ricerca 🔎 per aprire Terminale → PowerShell → Esegui come amministratore.
2. Per autenticarti e accedere ai dati di gestione dei dispositivi, collegati con gli ambiti necessari usando questo script:

Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All", "Policy.Read.All", "DeviceManagementManagedDevices.Read.All"

3. Recupera l’elenco delle policy di conformità con:

Get-MgDeviceManagementCompliancePolicy.

4. Poi verifica le assegnazioni di una policy specifica con:

Get-MgDeviceManagementCompliancePolicyAssignment -CompliancePolicyId<ID>

Sostituisci <ID> con l’ID della policy ottenuto dal comando precedente.

5. Infine, visualizza gli stati di conformità dei dispositivi con:

Get-MgDeviceManagementManagedDevice | Select DisplayName, ComplianceState

Questi dati possono anche essere filtrati o esportati (ad esempio in CSV per audit o panoramiche a livello di tenant) per attività di reporting e analisi. Inoltre, questi script sono particolarmente utili agli amministratori di enterprise informatica per automatizzare il reporting, la verifica delle policy o l’applicazione della conformità su larga scala.

Questo script può essere eseguito o fallire senza mostrare alcuna conferma o richiesta. Per capire se le modifiche sono state applicate correttamente, controlla le chiavi del Registro di sistema o le impostazioni di sistema corrispondenti.

4. Configurare i criteri di gruppo negli ambienti in co-gestione

Se usi Microsoft Endpoint Configuration Manager (ConfigMgr/SCCM) in co-gestione con Intune, puoi sfruttare i criteri di gruppo per attivare la registrazione MDM automatica dei dispositivi Windows.

Prima di iniziare, assicurati di usare una macchina di gestione aggiunta al dominio.

1. Premi Win + R, digita gpmc.msc e tocca OK per aprire la Console Gestione Criteri di gruppo.
2. Vai su Configurazione del computer → Modelli amministrativi → Componenti di Windows → MDM.
3. Cerca il criterio Abilita registrazione MDM automatica usando le credenziali predefinite di Microsoft Entra ID, abilitalo e scegli Credenziale dispositivo come opzione per le credenziali utente.
4. Applica il criterio ed esegui gpresult /h report.html per verificarne l’applicazione.

Per controllare la tua configurazione, apri il file report.html in un browser e verifica che il criterio MDM sia stato applicato correttamente.

Aspetti a cui prestare attenzione quando configuri le policy in Intune

Ti sfugge qualcosa? Considera questi scenari e consigli per gestire gli errori, prevenire problemi di sistema e rafforzare le policy.

Ricorda che è importante disporre di un sistema per monitorare nel tempo i cambiamenti nella conformità, così da colmare le lacune a ogni aggiornamento. Pianifica attività periodiche di reporting e di avviso tramite Graph API o la dashboard di reporting di Intune per tenere sotto controllo la tua postura di sicurezza.

Servizi e funzionalità NinjaOne da abbinare alle policy di Intune

Applicare e monitorare la conformità degli endpoint può essere un processo impegnativo per i team IT negli ambienti enterprise. Come farlo allora su larga scala? È qui che le soluzioni NinjaOne Endpoint Management® danno il meglio di sé nelle mani di MSP e amministratori IT.

Monitoraggio dell’applicazione delle policy

NinjaOne dispone di funzionalità solide per automatizzare avvisi e interventi di remediation quando gli endpoint gestiti escono dallo stato di conformità a Intune. Le attività di routine e il monitoraggio possono essere automatizzati senza interruzioni, così gli amministratori possono concentrarsi sui compiti più urgenti o critici.

Inoltre, NinjaOne può alleggerire il carico del tuo Helpdesk, perché l’IT riceve avvisi automatici ancora prima che alcune situazioni degenerino e blocchino la produzione.

Visibilità unificata sugli endpoint

NinjaOne MDM™ offre una gamma di soluzioni per reti IT dinamiche o endpoint distribuiti. Per esempio, puoi usarlo per mantenere visibilità e controllo sui dispositivi conformi e non conformi, su tutti i tenant e i tipi di OS.

Script di conformità personalizzati

Uno dei modi migliori per usare NinjaOne RMM® è distribuire e pianificare script PowerShell o CMD che rilevano e correggono problemi di configurazione locali che vanno oltre la visibilità e il controllo offerti da Intune.

Inoltre, NinjaOne offre un controllo più granulare sulla rete grazie a script personalizzati e strategie di distribuzione su misura. Puoi consultare la libreria di script di NinjaOne per scoprire gli script pronti all’uso che gli utenti NinjaOne possono distribuire quando serve.

Il modo migliore per distribuire le policy di conformità di Intune

Combinare le policy di conformità con l’accesso condizionale in Intune è un ottimo approccio per gettare le basi di un modello di sicurezza Zero Trust. Microsoft Intune, però, a volte può avere difficoltà o non scalare da solo. Per una strategia più completa e a prova di futuro, valuta di affiancare NinjaOne a Intune per aumentare la visibilità e automatizzare la remediation su tutti gli endpoint.

Argomenti correlati:

• Intune e RMM: Microsoft Intune può sostituire un RMM?
• Microsoft Intune si occupa di patch management?
• 12 migliori alternative e concorrenti di Microsoft Intune
• Come configurare le policy di accesso condizionale in Azure AD