Microsoft MD-102: Gestione e distribuzione delle applicazioni — Guida allo studio

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fa parte della Microsoft Endpoint Administrator Associate MD-102 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La gestione delle applicazioni in Microsoft Intune si concentra sulla selezione del tipo di app corretto, sulla preparazione adeguata dei pacchetti, sull’indirizzamento delle assegnazioni con la finalità giusta e sulla stratificazione della configurazione e della protezione specifiche dell’app. Le app Win32 offrono i controlli di distribuzione più completi, inclusi il rilevamento, la sostituzione e le dipendenze. Microsoft 365 Apps offre un’esperienza di distribuzione di primo livello con il supporto per Office Configuration XML. I criteri di configurazione delle app e i criteri di protezione delle app (MAM) estendono la gestibilità su dispositivi registrati e non registrati, abilitando un BYOD sicuro tramite MAM senza registrazione.

Tipi di App e Finalità di Assegnazione

Intune supporta diversi tipi di app, ciascuno ottimizzato per piattaforme e modelli di distribuzione specifici:

App Win32: Installer personalizzati di Windows (EXE, MSI e installazioni multi-file) pacchettizzati come .intunewin. Queste supportano regole di rilevamento, requisiti, codici di ritorno, dipendenze e sostituzione. Scegliere le app Win32 quando si necessita di controllo sull’installazione, logica di installazione personalizzata o di sequenziare le app.
App del Microsoft Store: Il tipo di app Microsoft Store (nuovo) si integra con il Windows Package Manager (winget) e sostituisce il precedente Store for Business. Queste app vengono individuate dal catalogo dello Store, si aggiornano tramite il client dello Store e non richiedono pacchettizzazione personalizzata o regole di rilevamento. Utilizzare per contenuti UWP/MSIX pacchettizzati distribuiti dallo store e per la manutenzione moderna dello Store.
App line-of-business (LOB): Pacchetti nativi della piattaforma non provenienti da uno store pubblico:
- Windows: MSI (per distribuzioni MSI di base senza le funzionalità avanzate di Win32)
- iOS/iPadOS: .ipa
- macOS: .pkg
- Android: Tipicamente gestite tramite Managed Google Play; il classico .apk è supportato per scenari legacy di amministratore del dispositivo
App Web: Collegamenti URL distribuiti tramite Intune. Su Windows, viene aggiunto un collegamento; su iOS/iPadOS viene creata una web clip simile a un’app; su Android viene aggiunta un’app web approvata tramite Managed Google Play. Il comportamento dell’autenticazione è regolato dall’app web di destinazione e da Conditional Access; l’imposizione dell’autenticazione moderna utilizza tipicamente un criterio di Conditional Access con la condizione App client.
App predefinite: App di prima parte selezionate ed esposte direttamente in Intune (ad esempio, Company Portal, Microsoft Edge, Microsoft Defender, OneDrive, Teams). Su iOS/iPadOS, il selettore di app predefinite può anche aggiungere app dall’Apple App Store senza inserire manualmente i metadati.

Le finalità di assegnazione delle app definiscono il comportamento di distribuzione:

Obbligatoria: Intune installa l’app automaticamente sui dispositivi/utenti target. Per le app Win32, è possibile impostare orari di disponibilità e scadenza e configurare periodi di tolleranza per il riavvio.
Disponibile: Pubblica l’app nel Company Portal per l’installazione avviata dall’utente. Tipicamente assegnata a gruppi di utenti per esporre le app nel portale.
Disinstalla: Assicura la rimozione quando le assegnazioni o l’appartenenza a un gruppo cambiano. Per le app Win32, il comando di disinstallazione deve essere fornito e testato.

Utilizzare i filtri di assegnazione e i gruppi di inclusione/esclusione per definire con precisione l’ambito della distribuzione su popolazioni di dispositivi eterogenee (ad esempio, versione del sistema operativo, produttore del dispositivo, tipo di registrazione, architettura del processore).

Pacchettizzazione, Rilevamento, Sostituzione e Dipendenze delle App Win32

La pacchettizzazione Win32 converte la sorgente del programma di installazione in un singolo file .intunewin utilizzando IntuneWinAppUtil:

Preparare il contenuto: Posizionare i file di installazione, le trasformazioni e gli script in una cartella di origine. Eseguire IntuneWinAppUtil, fornire il file di installazione, la cartella di origine e il percorso di output per generare il file .intunewin.
Metadati e comandi dell’app: In Intune, caricare il file .intunewin, specificare i comandi di installazione e disinstallazione (ad esempio, comandi msiexec o switch per l’installazione silente di file EXE), impostare il comportamento di installazione (sistema o utente) e, facoltativamente, abilitare “Esegui come 32 bit” su client a 64 bit se richiesto dall’app.
Requisiti: Definire prerequisiti come versione/build del sistema operativo, architettura, memoria, disco e controlli basati su script personalizzati per prevenire assegnazioni errate e installazioni fallite.
Codici di ritorno: Mappare i codici di uscita del programma di installazione a successo, riavvio posticipabile (soft reboot), riavvio obbligatorio (hard reboot) e nuovo tentativo. Una mappatura corretta assicura che Intune interpreti i risultati accuratamente e sequenzi le app dipendenti in modo appropriato.

Le regole di rilevamento confermano se l’app è installata e ne impediscono la reinstallazione:

MSI: Utilizzare il codice prodotto MSI per un rilevamento affidabile; Intune può popolarlo automaticamente durante il caricamento di un’app Win32 basata su MSI.
File: Verificare l’esistenza, la versione o la data di un file o di una cartella. Prestare attenzione al contesto di sistema rispetto a quello utente e al reindirizzamento a 32 bit su sistemi operativi a 64 bit.
Registro di sistema: Verificare la corrispondenza di una chiave/valore e, facoltativamente, un confronto di valore. Assicurarsi che la selezione dell’hive (HKLM/HKCU) sia allineata al contesto di installazione scelto.
Script personalizzato: Restituisce il codice di uscita 0 se rilevato; un valore diverso da zero se non rilevato.

La sostituzione e le dipendenze orchestrano l’ordine di installazione e gli aggiornamenti:

Dipendenze: Configurare “App2 dipende da App1” in modo che Intune installi automaticamente prima App1. Utilizzare questa funzione per imporre prerequisiti come runtime o framework. Le dipendenze possono essere un mix di assegnazioni obbligatorie/disponibili, ma l’installazione effettiva avviene solo per le dipendenze obbligatorie di app obbligatorie.
Sostituzione: Definire relazioni di sostituzione per aggiornare o rimpiazzare app Win32 più vecchie. È possibile scegliere di disinstallare l’app precedente prima o dopo l’installazione di quella nuova. Utilizzare la sostituzione per passare da App v1 a App v2 senza creare logiche di rilevamento complesse o attività di rimozione separate. Solo le app Win32 supportano la sostituzione in Intune.

Pratiche di progettazione comuni:

Testare sempre l’installazione/disinstallazione e il rilevamento su sistemi puliti e già configurati.
Utilizzare il contesto di sistema per le installazioni a livello di macchina e il rilevamento basato su HKLM. Riservare il contesto utente per le app per utente con rilevamento basato su HKCU.
Preferire il rilevamento MSI per i payload MSI; utilizzare il rilevamento basato su file/registro di sistema per gli installer basati su EXE.
Sequenziare i prerequisiti con le dipendenze; utilizzare la sostituzione per aggiornamenti e deprecazioni.

Distribuzione di Microsoft 365 Apps con Intune

Intune fornisce un tipo di app specializzato per Microsoft 365 Apps che astrae la maggior parte della complessità e supporta la configurazione sia tramite GUI che tramite XML:

Nozioni di base sulla configurazione: Scegliere la suite (Microsoft 365 Apps for enterprise), l’architettura, il canale di aggiornamento (Current, Monthly Enterprise, Semi-Annual Enterprise), le app incluse/escluse (Word, Excel, PowerPoint, Outlook, OneDrive, Teams, Access, Visio Viewer) e le lingue.
Aggiornamento e licenze: Configurare gli aggiornamenti automatici, l’allineamento dei canali e l’Attivazione di Computer Condivisi (Shared Computer Activation) per scenari multi-utente (ad esempio, VDI o chioschi condivisi).
Coesistenza e rimozione: Abilitare l’opzione “Disinstalla qualsiasi versione MSI di Office” per rimuovere le versioni legacy di Office basate su MSI prima di installare Microsoft 365 Apps Click-to-Run. Questo previene conflitti di installazioni side-by-side.
Office Customization Tool (OCT): Utilizzare la procedura guidata integrata per le impostazioni comuni (selezione delle app, canale di aggiornamento, opzioni di installazione). Per un controllo avanzato, fornire o importare un file XML di configurazione di Office.
Controllo tramite XML: L’XML consente impostazioni granulari come le lingue delle app, le app escluse, SCL (SharedComputerLicensing), AutoActivate, licenze basate su dispositivo (per il settore education) e controlli di aggiornamento delle app. Intune archivia e distribuisce l’XML per guidare il comportamento dell’installazione di Office.
macOS: Utilizzare il tipo di app Microsoft 365 Apps for macOS per una distribuzione semplificata con aggiornamenti automatici e selezioni facilitate.

L’assegnazione segue gli stessi intenti (Required, Available, Uninstall). Per le distribuzioni Windows, scegliere come destinazione i gruppi di dispositivi per un rollout su vasta scala; sfruttare le finestre di disponibilità e le scadenze per coordinare l’impatto sulla larghezza di banda e sugli utenti.

Configurazione e protezione delle app (MAM e MAM-WE)

I criteri di configurazione delle app forniscono coppie chiave/valore e impostazioni specifiche per l’app:

Dispositivi gestiti (canale MDM): le impostazioni vengono distribuite ai dispositivi registrati e applicate dall’app di destinazione. Questo è comune per le app Android Enterprise e iOS/iPadOS che supportano la configurazione delle app (ad esempio, pagina iniziale/blocco URL di Microsoft Edge, configurazione dell’account Outlook, configurazione dello spostamento delle cartelle note di OneDrive su dispositivi mobili). La configurazione delle app basata sul dispositivo richiede che il dispositivo sia registrato e conforme ai prerequisiti della piattaforma.
App gestite (canale MAM): la configurazione viene distribuita alle app che integrano l’SDK di Intune o l’App Wrapping Tool, indipendentemente dalla registrazione del dispositivo. Questo approccio si rivolge all’identità dell’utente ed è ideale per scenari BYOD. Ad esempio, preconfigurare la Posta in arrivo evidenziata di Outlook o limitare i componenti aggiuntivi di terze parti su dispositivi personali senza MDM.

Utilizzare criteri di configurazione delle app separati per piattaforma e per canale (MDM vs MAM) per evitare conflitti e garantire una distribuzione appropriata. Non tutte le app supportano entrambi i canali; consultare la documentazione sulla configurazione delle app di Microsoft per le chiavi supportate.

I criteri di protezione delle app (MAM) applicano la protezione dei dati a livello di applicazione:

Protezione dei dati: crittografare i dati aziendali a riposo all’interno del contenitore dell’app gestita, limitare taglia/copia/incolla e salva con nome alle sole app gestite dai criteri, bloccare i backup su spazi di archiviazione non approvati e controllare il trasferimento di dati tra account.
Requisiti di accesso: richiedere un PIN o dati biometrici per aprire le app protette, impostare la complessità e il timeout del PIN e richiedere l’autenticazione moderna. Questi controlli impediscono la fuga accidentale di dati e l’accesso non autorizzato se un dispositivo viene condiviso o smarrito.
Avvio condizionale: bloccare l’accesso su dispositivi con jailbreak/root, imporre versioni minime di app/sistema operativo, integrare il livello di minaccia del dispositivo con Microsoft Defender for Endpoint o partner Mobile Threat Defense e definire periodi di tolleranza offline. Le violazioni possono generare un avviso, cancellare i dati aziendali nell’app o bloccare l’accesso.

La gestione delle applicazioni mobili senza registrazione (MAM-WE) abilita scenari BYOD sicuri:

Ambito: solo iOS/iPadOS e Android. Nessuna registrazione del dispositivo necessaria. Gli utenti accedono con la loro identità aziendale nelle app supportate (ad esempio, Outlook, Teams, OneDrive, Edge).
Applicazione: combinare l’Accesso Condizionale con il controllo di concessione “Richiedi criteri di protezione delle app” in modo che l’accesso al cloud aziendale sia consentito solo da app approvate con un criterio MAM applicato. Opzionalmente, aggiungere “Richiedi app client approvata” per restringere ulteriormente i punti di ingresso.
Cancellazione selettiva: quando un utente viene deprovisionato, perde l’accesso o un amministratore avvia una cancellazione, i dati aziendali, le chiavi e i token di accesso vengono rimossi dal contenitore dell’app gestita, mentre i dati personali rimangono intatti.
Portale Aziendale: non è richiesto per l’applicazione di MAM-WE, sebbene possa assistere nel reperimento delle app. L’applicazione principale si basa sulle funzionalità dell’SDK di Intune nell’app e sull’Accesso Condizionale in Entra ID.

Linee guida di progettazione:

Utilizzare la configurazione delle app basata su dispositivo MDM e le installazioni di app obbligatorie per i dispositivi di proprietà aziendale e conformi.
Utilizzare la configurazione e la protezione delle app MAM per i dispositivi personali/BYOD, supportate dall’Accesso Condizionale per imporre l’autenticazione moderna e la presenza dei criteri.
Mantenere le configurazioni delle app minimali e mirate; associare i criteri MAM a esclusioni per account di emergenza (break-glass) e principal di servizio, ove appropriato.

Scenario pratico

Contoso Ltd., un produttore globale, sta standardizzando Windows 11 per 5.000 dispositivi, abilitando al contempo l’accesso mobile sicuro per 2.000 utenti BYOD su iOS e Android. Deve distribuire tre applicazioni Windows (un prerequisito .NET runtime, un client ERP e un plug-in per browser), implementare Microsoft 365 Apps con un canale di aggiornamento specifico, preconfigurare Outlook su dispositivi mobili e prevenire la fuga di dati sui dispositivi personali senza registrarli.

Creare pacchetti e sequenze per le applicazioni Windows

Azione: creare pacchetti per il client ERP e il plug-in del browser come app Win32 con IntuneWinAppUtil. Utilizzare anche l’MSI del fornitore per il .NET runtime come app Win32. Configurare il client ERP in modo che dipenda dal .NET runtime e il plug-in del browser in modo che dipenda dal client ERP. Impostare assegnazioni Obbligatorie a gruppi di dispositivi con disponibilità e scadenze.
Motivo: il formato Win32 fornisce comandi di installazione/disinstallazione, rilevamento di file/registro, mappatura dei codici di ritorno e ordinamento delle dipendenze per garantire che il .NET runtime e il client ERP si installino prima del plug-in in modo coerente su ogni dispositivo.

Implementare gli aggiornamenti del client ERP

Azione: quando viene rilasciata una nuova versione dell’ERP, creare una nuova app Win32 e configurare la sostituzione (supersedence) per rimpiazzare la vecchia app ERP e disinstallare la versione precedente.
Motivo: la sostituzione (supersedence) gestisce in modo pulito gli aggiornamenti su larga scala senza attività di rimozione manuale o complesse modifiche al rilevamento.

Distribuire Microsoft 365 Apps con governance degli aggiornamenti

Azione: aggiungere l’app Microsoft 365 Apps for enterprise in Intune, selezionare il canale Monthly Enterprise, escludere Access, abilitare “Disinstalla eventuali versioni MSI di Office” e importare un file XML di configurazione di Office personalizzato che abiliti l’Attivazione di computer condivisi (Shared Computer Activation) per i PC condivisi.
Motivo: il tipo di app Office Suite e il file XML offrono un controllo deterministico su componenti, licenze e cadenza degli aggiornamenti con il minimo sforzo di creazione del pacchetto.

Distribuire la configurazione delle app per dispositivi gestiti

Azione: per i dispositivi aziendali Windows e Android Enterprise, creare criteri di configurazione delle app destinati a Microsoft Edge (pagina iniziale, siti consentiti/bloccati) e Outlook (suggerimenti per la configurazione dell’account) tramite il canale dei dispositivi gestiti. Assegnare a gruppi di dispositivi/utenti allineati alla proprietà.
Motivo: la configurazione delle app tramite il canale del dispositivo applica le impostazioni a livello gestito dal sistema operativo, garantendo un’esperienza coerente sui dispositivi registrati di proprietà aziendale.

Abilitare il BYOD sicuro con MAM-WE

Azione: creare criteri di protezione delle app per iOS/iPadOS e Android che richiedano un PIN/dati biometrici, crittografino i dati a riposo, limitino il copia/incolla alle sole app gestite dai criteri e consentano il salvataggio con nome solo su OneDrive for Business. Pubblicare la configurazione dell’app MAM per Outlook (Posta in arrivo evidenziata e impostazioni predefinite dell’account gestito).
Motivo: MAM-WE protegge i dati aziendali all’interno delle app senza la registrazione del dispositivo, soddisfacendo le aspettative di privacy per i dispositivi personali.

Imporre l’accesso con l’Accesso Condizionale

Azione: in Accesso Condizionale di Entra ID, creare criteri destinati ai servizi di Microsoft 365 che richiedano sia l’autenticazione moderna sia “Richiedi criteri di protezione delle app” per le piattaforme mobili. Aggiungere una regola separata per limitare i client legacy tramite la condizione App client.
Motivo: l’Accesso Condizionale (CA) garantisce che solo le app approvate e conformi ai criteri accedano alle risorse aziendali, bloccando i percorsi di autenticazione legacy e garantendo l’applicazione dei criteri MAM.

Rendere operative la cancellazione selettiva e la remediation

Azione: formare l’helpdesk per avviare una cancellazione selettiva a livello di utente da Intune quando un dispositivo viene smarrito o un utente lascia l’azienda. Monitorare la conformità e gli errori di installazione delle app tramite i report di Intune e risolvere i problemi con rilevamenti o mappature dei codici di ritorno rivisti.
Motivo: la cancellazione selettiva rimuove solo i dati aziendali dai dispositivi personali, mentre i report di Intune e i codici di ritorno controllati mantengono un alto tasso di successo nella distribuzione delle applicazioni Windows.

← Profili di configurazione dei dispositivi e criteri · Tutti i domini · Sicurezza degli endpoint e Microsoft Defender →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →