Come automatizzare l’assegnazione dei profili di configurazione Intune in base alle etichette dei dispositivi tramite Graph API

L’onboarding dei dispositivi e l’assegnazione dei gruppi utente sono due attività che MSP e team di enterprise informatica cercano spesso di automatizzare per migliorare il flusso di lavoro. Su larga scala, questa configurazione avviene di norma tramite RMM o profili di configurazione Intune, che sfruttano le etichette dei dispositivi tramite Graph API. Scopri la nostra guida per iniziare.

Cerchi una guida visiva per approfondire l’argomento? Guarda il nostro video: Come automatizzare l’assegnazione dei profili di configurazione Intune in base alle etichette dei dispositivi tramite Graph API.

Procedura per impostare l’assegnazione dei profili di configurazione Intune tramite Graph API

Usa la tabella per scegliere e raggiungere rapidamente i passaggi di attivazione che ti interessano.

📌 Prerequisiti:

• Licenze Microsoft Intune
• Microsoft Entra ID Premium (per gruppi dinamici e policy Intune)
• Applicazione registrata con autorizzazioni Graph API:
  • ReadWrite.All (per le policy del Catalogo impostazioni)
  • ReadWrite.All (per i profili di configurazione standard)
  • Read.All (necessaria per leggere le categorie dispositivi di Intune)
  • ReadWrite.All (per gestire i gruppi di assegnazione)
• PowerShell 7+ con il modulo Microsoft.Graph
• Facoltativo: accesso al Registro di sistema locale per l’etichettatura
• Facoltativo: NinjaOne o un’altra piattaforma RMM per i metadati degli endpoint e l’esecuzione degli script

💡 Suggerimento: consulta la sezione Aspetti a cui prestare attenzione per consigli su come gestire i rischi potenziali.

Passaggio 1: applicare etichette ai dispositivi tramite il Registro di sistema locale (facoltativo)

In questo esempio viene creata su ogni dispositivo una semplice chiave del Registro di sistema con valori come Label=Finance e AssignedProfile=None.

1. Usa la Ricerca 🔎 per aprire Terminale → PowerShell → Esegui come amministratore.
2. Assegna agli endpoint metadati di ruolo o ambiente:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "Label" -Value "Finance"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "None"

Questo passaggio può essere usato con Intune oppure in parallelo durante la fase di transizione. Crea su ogni dispositivo una semplice chiave del Registro di sistema, che funge anche da metadato.

Per la verifica puoi eseguire reg query HKLM\SOFTWARE\Org\DeviceLabels in CMD o PowerShell. Queste etichette possono guidare la logica di uno script esterno nel decidere quale profilo Intune assegnare.

Passaggio 2: connettersi a Microsoft Graph e interrogare i dispositivi per etichetta

Questi script individuano i dispositivi in base a un’etichetta (ad esempio DeviceCategory -eq “Finance”) oppure tramite attributi di estensione, come le proprietà di estensione di Entra ID.

1. Usa la Ricerca 🔎 per aprire Terminale → PowerShell → Esegui come amministratore.
2. Connettiti a Graph:

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All", “Group.ReadWrite.All”

3. Quindi interroga i dispositivi per categoria:

$devices = Get-MgManagedDevice | Where-Object { $_.DeviceCategory -eq "Finance" }

Se utilizzi gli attributi di estensione, modifica la query di conseguenza. Intune ed Entra ID danno il meglio quando si tratta di individuare i dispositivi registrati.

⚠️ Nota tecnica: assicurati che la tua automazione punti all’endpoint ManagedDevice e non all’endpoint Device standard di Entra ID. Gli attributi specifici di Intune, come DeviceCategory, non esistono negli oggetti predefiniti di Entra ID. Interrogare l’endpoint sbagliato restituisce un set di dati vuoto.

Passaggio 3: creare o individuare i profili di configurazione e assegnarli per gruppo

L’obiettivo successivo è garantire che esista un gruppo di destinazione per l’etichetta (ad esempio “Finance Devices”).

1. Usa la Ricerca 🔎 per aprire Terminale → PowerShell → Esegui come amministratore.
2. Esegui Get-MgDeviceManagementDeviceConfiguration per elencare i profili di configurazione esistenti.
3. Poi individua o crea un gruppo di assegnazione per l’etichetta di destinazione:

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq "Finance Devices" }

Oppure crea un nuovo gruppo:

$group = New-MgGroup -DisplayName "Finance Devices" -MailEnabled:$false `

-MailNickname "FinanceGroup" -SecurityEnabled:$true

4. Una volta creato il gruppo, puoi aggiungervi i dispositivi e assegnare un profilo di configurazione.

• • Aggiungi i dispositivi:

Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.Id

• • Assegna il profilo di configurazione:

New-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}

🧠 Requisito strutturale: quando assegni un profilo di configurazione tramite Graph API, il sistema richiede un wrapper strutturale @odata.type esplicito. Lo script deve definire esplicitamente la destinazione come #microsoft.graph.groupAssignmentTarget e passare l’ID del gruppo all’interno di quella specifica struttura del payload, anziché applicarlo direttamente all’oggetto profilo.

💡 Nota: inoltre, puoi usare l’appartenenza dinamica se l’etichetta è memorizzata in un attributo interrogabile a livello di gruppo (ad esempio un attributo di estensione). In alternativa, automatizza l’etichettatura tramite RMM.

Passaggio 4: automatizzare il flusso di lavoro (Etichetta → Gruppo → Profilo)

Questo passaggio serve a impostare una gestione senza interventi manuali, una volta individuate e interrogate correttamente le fonti delle etichette e i profili di destinazione. Ecco uno script di esempio che utilizza le etichette e i profili precedenti:

$label = “Finance”

$devices = Get-MgDevice | Where-Object { $_.DeviceCategory -eq $label }foreach ($device in $devices) {

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq “$label Devices” }if (-not $group) {

$group = New-MgGroup -DisplayName “$label Devices” -MailEnabled:$false `

-MailNickname “$labelGroup” -SecurityEnabled:$true}Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.IdNew-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}}

Negli ambienti gestiti ed enterprise, questo script deve essere eseguito con cadenza ricorrente per intercettare i nuovi endpoint da organizzare.

Passaggio 5: salvare lo stato dell’assegnazione nel Registro di sistema per l’audit

Per concludere, aggiorna il Registro di sistema in modo da tenere traccia del profilo applicato. Puoi eseguire il seguente script tramite PowerShell:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "Finance_Profile"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "LastSynced" -Value (Get-Date).ToString(“u”)

Questa operazione crea una traccia di audit locale a disposizione dei team di supporto. Questi dati possono anche essere raccolti da un RMM o esportati in CSV per il reporting centralizzato.

💡 Nota: questo script potrebbe essere eseguito o non riuscire senza mostrare alcuna conferma o richiesta. Per verificare se le modifiche sono state applicate correttamente, controlla le chiavi del Registro di sistema o le impostazioni di sistema corrispondenti.

⚠️ Aspetti a cui prestare attenzione quando si automatizza l’assegnazione dei profili Intune

Di seguito trovi i rischi più comuni, le possibili conseguenze e alcuni modi pratici per rimediare o prevenire i problemi.

Alcune delle difficoltà iniziali nell’automatizzare l’assegnazione dei profili tramite Intune emergono durante le transizioni. Conviene quindi usare la necessaria diligenza per assicurarsi che etichette e raggruppamenti non entrino in conflitto né vengano duplicati.

Inoltre, negli ambienti di grandi dimensioni può essere necessario scaglionare l’esecuzione degli script, a meno che tu non li esegua tramite un RMM adeguato alla scala delle operazioni.

Usa NinjaOne per potenziare i flussi di lavoro Intune

Molti flussi di lavoro Intune possono essere arricchiti con policy di automazione, reporting e una gestione IT scalabile e granulare offerta da NinjaOne RMM®.

• Distribuzione di script che etichettano i dispositivi nel Registro di sistema
• Attivazione di script Graph esterni tramite policy di automazione
• Reporting sui metadati dei dispositivi (etichetta, ruolo, posizione) per guidare le assegnazioni
• Etichettatura dei dispositivi privi di profili di configurazione corretti per la successiva correzione
• Avvisi quando i dispositivi si discostano dalle assegnazioni di policy Intune previste

Con NinjaOne, gli MSP possono semplificare la governance delle policy Intune mantenendo scalabilità e reporting su più clienti.

Best practice per automatizzare l’assegnazione dei profili in Intune

Automatizzare l’assegnazione dei profili di configurazione Intune con Graph API è un modo efficace per rafforzare l’applicazione delle policy e semplificare l’onboarding dei dispositivi in tutta la rete.

Man mano che la tua organizzazione cresce, però, valuta di affiancare a Intune e Graph API un RMM come NinjaOne, che offre funzionalità di automazione e remediation su larga scala. Questo approccio proattivo fornisce un framework completo per una gestione degli endpoint senza interventi manuali, pronta per gli audit e scalabile.
Argomenti correlati:

• Come registrare i dispositivi Azure in Intune
• Microsoft Azure: pro e contro di Active Directory
• Come distribuire applicazioni con l’interfaccia di amministrazione di Microsoft Intune
• Come aggiungere un dispositivo aziendale alla gestione dei dispositivi di Intune
• Come aggiungere un dispositivo BYOD alla gestione dei dispositivi di Intune