Punti chiave
- Un flusso di lavoro standardizzato per il reset e la riassegnazione evita perdite di dati, conflitti di enrollment e lacune di sicurezza quando i dispositivi cambiano proprietario.
- Scegli il tipo di reset in base alla situazione: wipe completo per dispositivi smarriti o dismessi, fresh start per dispositivi interni con configurazioni sovraccariche e reset di Autopilot per il riutilizzo all’interno dello stesso team.
- Rimuovi i dispositivi da Intune, Microsoft Entra ID e Autopilot prima della riassegnazione, così eviti enrollment duplicati e configurazioni automatiche obsolete.
Un offboarding dei dispositivi gestito male può causare perdite di dati, conflitti di enrollment e lacune di sicurezza. Un flusso di lavoro coerente evita che i team saltino passaggi di pulizia. Inoltre, funzionalità come il comando di reset dei dispositivi con Intune aiutano a standardizzare il processo.
Questa guida descrive un processo strutturato e documentato basato su Microsoft Intune e PowerShell per riassegnazioni sicure ed efficienti.
Come standardizzare i flussi di lavoro di reset e riassegnazione dei dispositivi
La standardizzazione dei flussi di lavoro di reset e riassegnazione dei dispositivi si articola in sei passaggi: scegliere il metodo di reset corretto, creare un runbook strutturato per reset e riassegnazione, usare PowerShell per eliminare i residui di enrollment, applicare convenzioni di denominazione, mantenere una checklist di governance e pianificare formazione del personale e revisioni periodiche.
Nota: gli esempi e gli script di questa guida si riferiscono a dispositivi Windows gestiti tramite Microsoft Intune e Autopilot. Principi simili possono essere adattati a macOS o ad altri sistemi operativi tramite le rispettive piattaforme MDM.
Passaggio 1: scegli il metodo di reset corretto
La tabella seguente aiuta i team IT a scegliere il tipo di reset più adatto in base alle condizioni del dispositivo e ai requisiti di business. In questo modo si trova il giusto equilibrio tra rapidità, sicurezza e gestibilità.
Situazione d’uso: quando un dipendente lascia l’azienda e il suo laptop viene riassegnato a una nuova risorsa, il team IT può optare per un reset di Autopilot per mantenere enrollment e provisioning invece di eseguire un wipe completo dei dati.
| Tipo di reset | Descrizione | Situazione d’uso |
| Wipe completo | Riporta il dispositivo alle impostazioni di fabbrica, rimuovendo tutti i dati e l’enrollment | Dispositivi rubati, smarriti o completamente dismessi |
| Fresh start | Rimuove il bloatware OEM mantenendo l’enrollment MDM | Dispositivi interni con configurazioni sovraccariche |
| Reset di Autopilot | Rimuove i dati dell’utente ma mantiene enrollment e provisioning | Riutilizzo all’interno dello stesso cliente o team |
Importante: scegliere il tipo di reset sbagliato può causare ritardi evitabili nel riutilizzo del dispositivo. (Per maggiori informazioni, consulta: Aspetti a cui prestare attenzione)
Passaggio 2: crea un runbook strutturato per reset e riassegnazione
Questo passaggio documenta un flusso di lavoro strutturato di reset e riassegnazione, in modo che ogni dispositivo segua lo stesso percorso di ciclo di vita, dalla cessazione del rapporto con l’utente fino alla preparazione per il riutilizzo.
Situazione d’uso: un’organizzazione sta inserendo diversi collaboratori esterni mentre contemporaneamente gestisce l’uscita di dipendenti a tempo pieno. I dispositivi usati dal personale in uscita devono essere riassegnati alle nuove risorse. Questo passaggio garantisce che ogni dispositivo venga cancellato, deregistrato e tracciato prima della consegna.
| Attività | Descrizione |
| 1. Individua l’utente e i dispositivi associati. | Verifica quali dispositivi appartengono agli utenti in uscita incrociando i dati di piattaforme come Intune o NinjaOne, così nessun dispositivo passa inosservato. |
| 2. Seleziona il metodo di reset. | Usa la tabella decisionale qui sopra per associare l’azione di reset al contesto di business e bilanciare sicurezza, efficienza e prontezza al riutilizzo. |
| 3. Avvia il reset tramite Intune o RMM. | Avvia l’azione di reset scelta usando Intune o NinjaOne. Eseguire il reset da un sistema centralizzato garantisce visibilità e coerenza. |
| 4. Rinomina o contrassegna il dispositivo dopo il reset. | Aggiorna il nome del dispositivo o applica un tag per filtrare facilmente i dispositivi nel reporting ed evitare dubbi sul loro stato di prontezza. |
| 5. Rimuovi il dispositivo da Azure AD, Autopilot e Intune. | Deregistra il dispositivo per impedire un nuovo enrollment con i vecchi profili ed evitare conflitti futuri. Questo passaggio è fondamentale per i dispositivi dismessi che vengono riassegnati al di fuori del team originario. |
| 6. Aggiorna il PSA o il sistema di tracciamento degli asset. | Registra il reset, lo stato di riassegnazione e la restante documentazione direttamente nel PSA o nella piattaforma di gestione degli asset per creare una traccia di controllo e mantenere allineati i team IT, HR e conformità. |
| 7. Prepara il dispositivo al riutilizzo. | Esegui di nuovo l’enrollment dei dispositivi riutilizzati con la configurazione di base appropriata, così i nuovi utenti ricevono fin dal primo giorno un dispositivo sicuro e completamente configurato. |
Passaggio 3: usa PowerShell con Microsoft Graph per rimuovere le identità di Windows Autopilot
Quando si dismette o si riutilizza l’hardware, spesso è necessario rimuovere i dispositivi da Windows Autopilot per evitare che eseguano automaticamente un nuovo enrollment con i vecchi profili.
Situazione d’uso: un amministratore IT sta preparando un lotto di laptop per la rivendita dopo un rinnovo del parco dispositivi. Un wipe completo tramite Intune mette al sicuro i dati, ma se i dispositivi restassero registrati in Autopilot riapplicherebbero automaticamente i profili aziendali durante la configurazione
Prerequisiti:
- Sottoscrizione Intune attiva e un ruolo con l’autorizzazione a eliminare dispositivi Autopilot (ad esempio Intune Administrator).
- PowerShell 7+.
- Microsoft.Graph PowerShell SDK installato.
- Accesso a Graph con DeviceManagementServiceConfig.ReadWrite.All.
- Premi Win, digita PowerShell, quindi fai clic su Esegui come amministratore.
- Copia e incolla lo script seguente nel prompt, quindi premi Invio:
$ErrorActionPreference="Stop"if(-not (Get-Command Connect-MgGraph -ErrorAction SilentlyContinue)){Install-Module Microsoft.Graph -Scope CurrentUser -Force -AllowClobber}Connect-MgGraph -Scopes "DeviceManagementServiceConfig.ReadWrite.All" -NoWelcome$sn=(Get-CimInstance Win32_BIOS).SerialNumber$id=(Invoke-MgGraphRequest -Uri "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities?`$top=999").value |Where-Object {$_.serialNumber -eq $sn} | Select-Object -First 1 -ExpandProperty idif(-not $id){Write-Host "No Autopilot identity for serial $sn"; return}Invoke-MgGraphRequest -Method DELETE -Uri "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities/$id"Write-Host "Deleted Autopilot identity for $sn" |
Nota: serve l’autorizzazione DeviceManagementServiceConfig.ReadWrite.All in Microsoft Graph. Assicurati che l’account con cui hai effettuato l’accesso disponga dei diritti di Intune Administrator o equivalenti.
Importante: prima di distribuire la modifica delle impostazioni su endpoint diversi, conviene testarla su una macchina locale. (Per maggiori informazioni, consulta: Aspetti a cui prestare attenzione)
Passaggio 4: applica tag o convenzioni di denominazione per monitorare lo stato dei dispositivi
Questo passaggio garantisce un tracciamento accurato dei dispositivi e un reporting che rispecchia la situazione reale.
Situazione d’uso: un dispositivo è stato cancellato ed è in attesa di riutilizzo. Invece di tracciarlo manualmente, i team IT possono applicare il tag STATUS-WipedReady. NinjaOne lo rileva per avviare script di verifica e spostare il dispositivo in una vista di inventario “pronto per la riassegnazione”.
STATUS-WipedReady
Questo tag segnala che un dispositivo è disponibile per il riutilizzo e viene applicato al termine di un reset o di un wipe. STATUS-WipedReady può attivare automazioni condizionali, come gli script per un nuovo enrollment, oppure spostare l’asset in una coda di riassegnazione.
STATUS-InUse
Questo tag aiuta a filtrare i report di inventario per concentrarsi sui dispositivi assegnati agli utenti e viene applicato agli endpoint attivi e in uso. Garantisce una gestione efficace del parco dispositivi attivo e una risoluzione dei problemi più rapida.
STATUS-DecomPending
Infine, questo tag riguarda i dispositivi da dismettere o rivendere. Le automazioni possono escludere questi dispositivi dalla distribuzione delle policy, mentre le viste di reporting li mantengono visibili per il tracciamento fino alla dismissione definitiva.
Passaggio 5: mantieni una checklist di governance
Questo passaggio permette ai team IT di garantire la conformità, ridurre i rischi di sicurezza e colmare le lacune.
Situazione d’uso: un dipendente storico lascia l’azienda e il suo laptop viene riassegnato a un collaboratore esterno. In questo modo il team IT segue una checklist di governance che garantisce un reset sicuro del dispositivo.
| Azione | Descrizione |
| 1. Rimuovi il dispositivo da Intune. | Assicurati che l’enrollment del dispositivo in Intune venga annullato, così eviti problemi di enrollment duplicato al momento della riassegnazione. Questa operazione elimina anche le vecchie baseline di conformità. |
| 2. Rimuovi il dispositivo da Microsoft Entra ID (in precedenza Azure AD). | Rimuovere il dispositivo da Azure Active Directory fa sì che non compaia più come endpoint aziendale attendibile. Questa operazione chiude anche eventuali percorsi di autenticazione ancora aperti. |
| 3. Elimina il profilo Autopilot. | Sui dispositivi dismessi o rivenduti, rimuovi il profilo Autopilot associato per evitare che tentino un enrollment automatico con configurazioni obsolete. |
| 4. Avvia il reset. | In base alla tabella qui sopra, esegui l’azione di reset appropriata per cancellare i dati dell’utente e ottenere un dispositivo pulito e sicuro. |
| 5. Aggiorna il record dell’asset. | Registra nel sistema di gestione degli asset l’azione di reset, lo stato attuale nel ciclo di vita ed eventuali note su riassegnazione o dismissione. Questa operazione mantiene la tracciabilità delle responsabilità e crea una traccia di controllo affidabile. |
| 6. Assegna un nuovo profilo utente o una nuova configurazione. | Applica la configurazione di base corretta oppure reinstalla l’immagine del dispositivo per il riutilizzo. Se viene riassegnato, collegalo al profilo del nuovo utente per un inventario e un monitoraggio della conformità accurati. |
Attenzione: saltare passaggi o usare una checklist non aggiornata può creare vulnerabilità di sicurezza o portare i dispositivi a ripetere l’enrollment con configurazioni obsolete. (Per maggiori informazioni, consulta: Aspetti a cui prestare attenzione)
Passaggio 6: pianifica la formazione del personale e revisioni trimestrali del processo
Questo passaggio trasforma un progetto una tantum in una pratica di governance sostenibile, perché cicli regolari di formazione e revisione rendono i tecnici sicuri nell’esecuzione.
Situazione d’uso: il responsabile IT pianifica una sessione di formazione trimestrale per illustrare ai tecnici la matrice decisionale, rivedere la documentazione aggiornata e analizzare le metriche del trimestre precedente
Forma i tecnici sui tipi di reset, sui passaggi specifici per ogni strumento e sulla posizione della documentazione
In questo modo il personale comprende le differenze tra wipe completo, fresh start e reset di Autopilot, e sa quando usarli. La formazione può riguardare anche l’esecuzione specifica per ciascuno strumento e dove reperire documentazione di supporto o log.
Analizza trimestralmente le metriche dei reset
Analizza gli indicatori di prestazione e individua colli di bottiglia, passaggi omessi o problemi ricorrenti che potrebbero richiedere modifiche al processo.
Aggiorna i runbook
Le revisioni trimestrali permettono di aggiornare i runbook in modo che i tecnici abbiano istruzioni accurate, dato che Intune e le piattaforme RMM evolvono rapidamente e introducono nuove opzioni di reset.
Aspetti a cui prestare attenzione
| Rischi | Possibili conseguenze | Come rimediare |
| Scegliere il tipo di reset sbagliato | Possibili ritardi evitabili nel riutilizzo, configurazioni perse o dati non completamente cancellati | Forma il personale sulla matrice decisionale, prevedi la verifica di un responsabile per i casi limite e documenta il percorso di ripristino. |
| Non eseguire test su una macchina locale | Distribuire uno script non testato può causare il crash dei dispositivi a causa di problemi come l’incompatibilità delle chiavi di registro. | Applica le modifiche desiderate su una macchina locale e verifica se la configurazione produce i risultati previsti. |
| Saltare passaggi della checklist o lasciarla non aggiornata dopo modifiche alla piattaforma | Lacune di sicurezza, esiti negativi degli audit e problemi di enrollment duplicato possono creare difficoltà. | Rendi obbligatorio il completamento della checklist tramite il sistema di gestione dei ticket e richiedi un’approvazione prima del riutilizzo del dispositivo. |
I servizi NinjaOne che aiutano a standardizzare i reset dei dispositivi
Integrare il processo descritto sopra nei flussi di lavoro di automazione e reporting di NinjaOne aiuta a ridurre la variabilità e a migliorare la postura di sicurezza. Puoi allineare il flusso di lavoro appena descritto a NinjaOne grazie alle seguenti funzionalità della piattaforma:
Libreria di script
La libreria di script di NinjaOne permette ai team IT di archiviare e gestire gli script PowerShell da usare all’interno del flusso di lavoro di offboarding. Dopo un reset tramite Intune, questi script possono eseguire automaticamente passaggi aggiuntivi, come la deregistrazione di un dispositivo da Windows Autopilot.
Standardizzare gli script in un unico punto permette alle organizzazioni di garantire che i tecnici seguano sempre lo stesso processo, riducendo la variabilità e i rischi legati al lavoro manuale.
Policy di automazione
Usa le policy per applicare automaticamente impostazioni di sistema, imporre configurazioni o avviare azioni tramite script quando i dispositivi soddisfano condizioni o stati di conformità specifici.
Campi personalizzati dei dispositivi
I campi personalizzati dei dispositivi di NinjaOne permettono ai team di registrare dettagli aggiuntivi, come l’ultimo utente assegnato, le note sulla riassegnazione o le date di manutenzione.
Queste informazioni migliorano l’accuratezza della documentazione, supportano il monitoraggio della conformità e aiutano l’IT a mantenere visibilità sulla storia di ogni dispositivo.
Reporting basato sui tag
Applicare tag strutturati permette ai team IT di filtrare e generare report dei dispositivi pronti per il riutilizzo. Questa funzionalità consente azioni massive, come l’assegnazione dei dispositivi a nuovi flussi di lavoro di onboarding.
Campi di documentazione
Inserisci nel record dell’asset i link ai runbook, i log dei reset o i riferimenti alla conferma del wipe effettuato con Intune: i tecnici che interverranno in futuro avranno così una traccia di controllo chiara e l’accesso alla checklist di offboarding.
Integrazione con la gestione dei ticket
L’integrazione con la gestione dei ticket di NinjaOne rende le attività di offboarding precise ed efficienti. NinjaOne genera automaticamente un ticket con una checklist predefinita dei passaggi. Il ticket può includere link alla documentazione, spazio per raccogliere i log e punti di controllo per ogni fase del processo.
Evita errori standardizzando i processi di reset e riassegnazione
Standardizzare i processi di reset e riassegnazione evita errori, mette al sicuro i dati e velocizza il ricambio dei dispositivi presso tutti i clienti. Script di pulizia, documentazione e tag di ciclo di vita rendono i passaggi di consegna coerenti e pronti per gli audit. Inoltre, i flussi di lavoro di automazione e reporting di NinjaOne riducono la variabilità.
Argomenti correlati:
