Microsoft MD-102: Profili di configurazione dei dispositivi e criteri — Guida allo studio

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fa parte della Microsoft Endpoint Administrator Associate MD-102 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La gestione della configurazione e delle policy dei dispositivi in Microsoft Intune stabilisce stati operativi coerenti e sicuri su Windows, macOS, iOS/iPadOS e Android. Gli amministratori combinano profili di configurazione, policy di sicurezza degli endpoint, policy di conformità, Ottimizzazione recapito (Delivery Optimization) e Windows Update for Business in modo che i dispositivi vengano provisionati con le impostazioni richieste, forzati a una postura di sicurezza, aggiornati continuamente e autorizzati ad accedere alle risorse in base allo stato di conformità. Una progettazione efficace si basa sulla comprensione delle origini delle impostazioni (Catalogo impostazioni, Modelli amministrativi, restrizioni del dispositivo e OMA-URI personalizzati), dell’ambito e della precedenza delle policy di sicurezza, dei meccanismi di assegnazione (inclusione/esclusione e filtri) e dell’integrazione tra conformità e Accesso condizionale (Conditional Access).

Profili di Configurazione e Origini delle Impostazioni

I profili di configurazione forniscono le impostazioni del sistema operativo e delle applicazioni. Per Windows, i tipi di profilo principali includono restrizioni del dispositivo, protezione degli endpoint (modello legacy), modelli amministrativi (basati su ADMX) e il Catalogo impostazioni (Settings Catalog). Quando un’impostazione richiesta non è disponibile nei modelli, un profilo OMA-URI personalizzato si rivolge al CSP MDM sottostante.

Le restrizioni del dispositivo sono modelli predefiniti che centralizzano controlli comuni come i requisiti di password e accesso, i controlli del browser e dello Store, la privacy, l’accesso a Bluetooth e periferiche, e la modalità chiosco/app singola. Su Android Enterprise (profilo di lavoro e completamente gestito), la configurazione del chiosco si trova nella categoria Esperienza del dispositivo. Su iOS/iPadOS, le restrizioni includono controlli sull’installazione delle app, AirDrop, cattura dello schermo e impostazioni di iCloud. Su Windows, le restrizioni del dispositivo coprono i prerequisiti di BitLocker, i controlli degli account e i blocchi dell’esperienza utente.

Il modello di profilo del dispositivo per la protezione degli endpoint precede Endpoint security e configura le impostazioni di Windows Defender Antivirus, Firewall, BitLocker, SmartScreen ed Exploit Guard. Per le nuove implementazioni, privilegiare i profili di Endpoint security per questi domini per semplificare il reporting sulla postura di sicurezza e ridurre i conflitti tra modelli; mantenere i profili del dispositivo per la protezione degli endpoint solo dove un’opzione necessaria è assente altrove.

I Modelli Amministrativi (Administrative Templates) si mappano a policy basate su ADMX tramite il CSP MDM basato su ADMX. Riflettono i percorsi familiari di Criteri di gruppo (Group Policy) per Windows e le app di Microsoft 365. Utilizzarli quando si desidera un modello simile a quello dei GPO (ad es. impostazioni delle policy di Office) e per coerenza nelle migrazioni da GPO locali.

Il Catalogo Impostazioni (Settings Catalog) è l’origine più flessibile e orientata al futuro che elenca quasi tutte le impostazioni basate su CSP e ADMX con funzionalità di ricerca, categorie e ambito per dispositivo/utente. Preferire il Catalogo Impostazioni quando è necessaria una selezione precisa, impostazioni trasversali a più modelli in un unico profilo o per sostituire modelli monolitici.

I profili OMA-URI personalizzati configurano direttamente qualsiasi CSP quando un’impostazione non è esposta nell’interfaccia utente di Intune. Definire il percorso OMA-URI esatto (ad esempio, ./Vendor/MSFT/Policy/Config/Defender/ScanAvgCPULoadFactor), il tipo di dati e il valore. Utilizzare questo metodo anche per importare ADMX di terze parti per scenari CSP basati su ADMX, o per distribuire payload macOS/iOS (ad es. chiavi plist) che non sono presenti nei modelli nativi.

Per ridurre al minimo i conflitti, configurare una data impostazione in una sola origine di policy. Intune segnalerà un Conflitto per singola impostazione se più policy assegnate impostano la stessa chiave; il comportamento del dispositivo potrebbe essere indefinito o basato sull’ultima scrittura, quindi il consolidamento è la best practice.

Profili di Sicurezza degli Endpoint e Superficie di Attacco

Il nodo Endpoint security fornisce policy appositamente create con un reporting incentrato sulla sicurezza. Utilizzare queste policy in ordine di priorità rispetto ai profili di configurazione generali per le impostazioni di sicurezza:

Antivirus: Configurare la protezione in tempo reale di Microsoft Defender Antivirus, la protezione fornita dal cloud, le pianificazioni delle scansioni, la correzione e le impostazioni MAPS. Le protezioni della superficie di attacco come la Protezione rete (Network Protection) e l’Accesso controllato alle cartelle (Controlled Folder Access) possono essere impostate qui o nelle policy ASR. La protezione antimanomissione (Tamper Protection) è gestita tramite le impostazioni di sicurezza e Defender for Endpoint e dovrebbe rimanere attiva per bloccare modifiche non autorizzate.
Crittografia del disco: Imporre BitLocker per unità del sistema operativo, fisse e rimovibili; richiedere il TPM con o senza PIN; abilitare silenziosamente la crittografia dove l’hardware lo consente; depositare le chiavi di ripristino in Azure AD; ruotare automaticamente le password di ripristino dopo l’uso per ridurre il rischio interno. Su macOS, utilizzare i profili di crittografia FileVault con il deposito delle chiavi di ripristino personali in Intune.
Firewall: Configurare Windows Defender Firewall per profilo (Dominio/Privato/Pubblico), bloccare le connessioni in entrata per impostazione predefinita, consentire/negare l’unione delle regole con le policy locali e distribuire regole in entrata/uscita. Abilitare la registrazione e definire le esenzioni IPSec secondo necessità.
Riduzione della superficie di attacco: Impostare le regole ASR tramite GUID (blocco, controllo), abilitare l’Accesso controllato alle cartelle, la Protezione rete e la Protezione dagli exploit (Exploit Protection). Le regole ASR aiutano a prevenire il furto di credenziali, l’abuso di macro di Office e gli attacchi basati su script. Integrare con la modalità di controllo (audit mode) prima di applicare le regole per ridurre le interruzioni.

Per l’onboarding di Microsoft Defender for Endpoint, creare una policy di Rilevamento e risposta degli endpoint (EDR) in Intune per distribuire il pacchetto di onboarding e abilitare la raccolta dei dati dei sensori. Su macOS, applicare le impostazioni di Defender AV tramite un profilo di configurazione utilizzando il dominio di preferenza di Defender per ridurre al minimo lo sforzo amministrativo.

Le baseline di sicurezza sono raccolte predefinite di impostazioni di sicurezza consigliate. Utilizzarle per raggiungere rapidamente una baseline difendibile, quindi stratificare i profili di Endpoint security per le eccezioni e i controlli avanzati.

Conformità, Conditional Access e Meccanismi di Assegnazione

I criteri di conformità valutano la postura del dispositivo rispetto ai requisiti aziendali e producono uno stato binario di conformità/non conformità (con un indicatore di “periodo di tolleranza”). Le regole comuni per Windows includono soglie di versione/build del sistema operativo, complessità della password, richiesta di BitLocker, stato di Microsoft Defender, presenza del TPM e livello di rischio del dispositivo di Microsoft Defender for Endpoint. Per i dispositivi mobili, richiedere PIN, crittografia, bloccare i dispositivi con jailbreak/root e versioni minime del sistema operativo.

Le azioni per la non conformità definiscono le tempistiche di applicazione e l’escalation. L’azione predefinita contrassegna il dispositivo come non conforme; è possibile pianificare azioni aggiuntive come l’invio di notifiche email a utenti e amministratori e il blocco remoto del dispositivo sulle piattaforme supportate. Ogni azione supporta un periodo di tolleranza (in giorni). Mentre un dispositivo si trova nel periodo di tolleranza, rimane conforme ai fini della valutazione del Conditional Access, consentendo all’utente di porre rimedio senza una perdita immediata dell’accesso.

Il Conditional Access utilizza lo stato di conformità per controllare l’accesso. Un modello comune è “Richiedi che il dispositivo sia contrassegnato come conforme” per le app cloud, che si basa su Intune per attestare la conformità. È possibile combinarlo con condizioni aggiuntive, come i tipi di app client, per controllare l’autenticazione legacy. L’abbinamento della conformità del dispositivo con il CA (Conditional Access) garantisce che solo i dispositivi attendibili e gestiti accedano alle risorse aziendali.

Le assegnazioni determinano l’ambito di applicazione (scope). Includere gruppi (di utenti/dispositivi) da designare come target; utilizzare le esclusioni di gruppo per rimuovere dei sottoinsiemi. Le esclusioni prevalgono sulle inclusioni. I filtri perfezionano le assegnazioni al momento della valutazione in base alle proprietà del dispositivo (versione del sistema operativo, produttore, tipo di registrazione, proprietà, tipo di join, ecc.) con una logica di inclusione o esclusione, e sono particolarmente utili quando si assegna a “Tutti i dispositivi/utenti” ma si desidera raggiungere solo gli endpoint idonei. Per evitare conflitti tra i criteri, allineare la definizione dell’ambito (scoping) per proprietà e piattaforma, evitare di impostare le stesse chiavi CSP su più tipi di criteri e preferire un’unica fonte (ad es., la sicurezza degli endpoint) per i controlli di sicurezza. Per i criteri di Windows Update, ricordare la precedenza: un criterio per gli aggiornamenti delle funzionalità (Feature updates) che fissa una release specifica sovrascrive il differimento delle funzionalità degli anelli di aggiornamento (Update ring); gli aggiornamenti qualitativi accelerati (Expedited quality updates) sovrascrivono i differimenti e le scadenze per l’aggiornamento selezionato.

Windows Update for Business e Ottimizzazione recapito

Windows Update for Business (WUfB) mantiene i dispositivi aggiornati senza WSUS o SCCM. Si utilizzano tre tipi di policy complementari:

Anelli di aggiornamento per Windows 10 e versioni successive: controllano il canale di manutenzione, i periodi di differimento per gli aggiornamenti qualitativi e delle funzionalità, il comportamento di riavvio, l’orario di attività, le scadenze per il riavvio automatico e l’esperienza utente (UX). Creare anelli (es. Pilota, Generale, Critico) per orchestrare il rollout con differimenti e scadenze progressive.
Aggiornamenti delle funzionalità per Windows 10 e versioni successive: bloccano i dispositivi a una versione di Windows specifica finché non si decide di avanzarla. Questa policy ha la precedenza sui differimenti degli anelli per gli aggiornamenti delle funzionalità, offrendo un controllo deterministico su quando un dispositivo passa da una release all’altra.
Aggiornamenti accelerati per Windows 10 e versioni successive: distribuiscono rapidamente un aggiornamento qualitativo specifico per porre rimedio a vulnerabilità. Gli aggiornamenti accelerati ignorano i differimenti degli anelli e vengono applicati in poche ore, sfruttando le notifiche push di Windows e gli Update Health Tools. Usare con parsimonia per scenari zero-day.

Ottimizzazione recapito (DO) riduce l’utilizzo della WAN tramite la condivisione peer-to-peer di contenuti come aggiornamenti di Windows, app di Microsoft 365, app Win32 di Intune e app del Microsoft Store. Configurare la DO con un Catalogo delle impostazioni (Settings Catalog) o un profilo di Ottimizzazione recapito. I controlli chiave includono la modalità di download, i limiti di larghezza di banda, il comportamento della cache e la consapevolezza della VPN. Le modalità tipiche sono:

Solo HTTP: nessuna condivisione peer-to-peer; download solo dalla CDN di Microsoft.
LAN: condivisione con dispositivi dietro lo stesso NAT; ideale per la maggior parte degli uffici.
Gruppo: condivisione all’interno di un gruppo definito (site-ID), ideale per aziende distribuite; impostare l’ID di gruppo in modo coerente tramite policy o DHCP.
Internet: include peer da Internet; raramente consigliato a causa dell’imprevedibilità.
Modalità Semplice o Bypass: per la risoluzione dei problemi o per disabilitare temporaneamente le funzionalità avanzate della DO.

Impostare la larghezza di banda come percentuale del throughput misurato o come limiti assoluti, distinguere tra foreground e background, limitare la larghezza di banda in upload, definire la dimensione della cache e l’età massima dei file, e bloccare il peering su VPN. Combinare la DO con gli anelli di WUfB per minimizzare il rischio e l’impatto sulla larghezza di banda, mantenendo al contempo la velocità di aggiornamento.

Scenario Pratico

Contoso Ltd. gestisce 2.500 laptop con Windows 11 distribuiti in uffici globali e 300 dispositivi macOS utilizzati dal reparto di ingegneria. L’azienda deve: imporre la crittografia del disco, standardizzare le protezioni di Defender, controllare il rollout degli aggiornamenti di Windows con capacità di patching di emergenza, ridurre l’utilizzo della WAN e bloccare l’accesso a Microsoft 365 a meno che i dispositivi non siano conformi. Alcuni dispositivi Windows sono utilizzati da collaboratori esterni (contractor) e non dovrebbero ricevere restrizioni kiosk o relative all’esperienza utente aziendale.

Creare policy di crittografia del disco in Endpoint security

Windows: Configurare BitLocker per l’abilitazione silenziosa con TPM, depositare le chiavi di ripristino in Azure AD e abilitare la rotazione automatica delle chiavi di ripristino. macOS: Configurare FileVault con deposito della chiave istituzionale e personale in Intune. Perché: Le policy di crittografia del disco in Endpoint security forniscono crittografia nativa della piattaforma e deposito delle chiavi con un impatto minimo sull’utente e un recupero centralizzato.

Creare policy Antivirus e di riduzione della superficie di attacco in Endpoint security

Abilitare la protezione in tempo reale e fornita dal cloud di Defender AV, pianificare le scansioni, abilitare la Network Protection e le regole ASR chiave in modalità di controllo (audit) per un anello, per poi imporle dopo la convalida. Attivare l’Accesso controllato alle cartelle per i dispositivi del reparto finanziario tramite filtri di assegnazione. Perché: Le policy di Endpoint security offrono un reporting di sicurezza mirato ed evitano conflitti con i modelli di protezione degli endpoint legacy; le regole ASR riducono i vettori di attacco comuni.

Eseguire l’onboarding a Microsoft Defender for Endpoint

Distribuire una policy di onboarding EDR alle raccolte di dispositivi Windows e macOS e integrare il livello di rischio del dispositivo con la conformità di Intune. Perché: I segnali EDR alimentano le valutazioni di conformità e l’Accesso Condizionale, migliorando al contempo il rilevamento e la risposta.

Definire policy di conformità con periodi di tolleranza e azioni

Windows: Richiedere BitLocker, stato integro di Defender, build del sistema operativo ≥ alla build di destinazione. macOS: Richiedere FileVault e una baseline del sistema operativo. Configurare notifiche e-mail al giorno 0 e contrassegnare come non conforme al giorno 3. Perché: I periodi di tolleranza preservano la produttività mentre guidano la remediation; la conformità diventa la leva per imporre le condizioni di accesso.

Configurare l’Accesso Condizionale (Conditional Access)

Creare una policy che richieda che il dispositivo sia contrassegnato come conforme per accedere a Exchange Online, SharePoint e Teams; escludere gli account di emergenza (break-glass); aggiungere una condizione sulle app client per bloccare l’autenticazione legacy. Perché: Collega l’accesso a una posture verificata, chiudendo le lacune create da client non gestiti o che usano l’autenticazione legacy.

Implementare Windows Update for Business

Creare anelli di aggiornamento: Pilota (differimento di 0 giorni), Generale (differimenti di 7/14 giorni) e Critico (scadenze brevi). Creare una policy per gli aggiornamenti delle funzionalità che blocchi i dispositivi a Windows 11 23H2 fino a quando non si è pronti a procedere. Abilitare gli aggiornamenti qualitativi accelerati per la capacità di patching di vulnerabilità zero-day. Perché: Gli anelli forniscono un’implementazione graduale e prevedibile; gli aggiornamenti delle funzionalità creano un controllo deterministico sulle versioni; gli aggiornamenti accelerati consentono la remediation di emergenza.

Ottimizzare i contenuti con Ottimizzazione recapito

Impostare la modalità di download su LAN per gli uffici e su Gruppo per le regioni con ID di gruppo definiti. Limitare la larghezza di banda in background al 20% e porre un limite agli upload; disabilitare il peering su VPN. Perché: Riduce il carico sulla WAN e accelera la distribuzione di patch e app senza infrastruttura aggiuntiva.

Assegnare con gruppi e filtri; evitare conflitti

Indirizzare le policy a gruppi di dispositivi dinamici per sistema operativo e proprietà; usare i filtri di assegnazione per includere solo i dispositivi di proprietà aziendale per la posture di sicurezza ed escludere quelli dei collaboratori esterni dalle restrizioni UX. Consolidare le impostazioni per origine (Endpoint security per la sicurezza, Catalogo delle impostazioni per DO/WUfB) per prevenire conflitti CSP. Perché: Una strategia basata su gruppi e filtri assicura un targeting di precisione, un rischio minimo di conflitti e un reporting pulito.

Questo approccio utilizza Endpoint security di Intune per una posture di sicurezza rafforzata, la conformità unita all’Accesso Condizionale per il controllo degli accessi, WUfB per aggiornamenti controllati con risposta alle emergenze, e Ottimizzazione recapito per l’efficienza della larghezza di banda, il tutto mappato all’ambiente a proprietà mista e multipiattaforma di Contoso per una gestione degli endpoint affidabile e scalabile.

← Registrazione dei dispositivi e Azure AD Join · Tutti i domini · Gestione e distribuzione delle applicazioni →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →