Microsoft MD-102: Ciclo di vita di Windows e gestione degli aggiornamenti — Guida allo studio

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fa parte della Microsoft Endpoint Administrator Associate MD-102 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La gestione del ciclo di vita e degli aggiornamenti di Windows in Microsoft Endpoint Manager (Intune) si basa su Windows Update for Business (WUfB), il servizio di distribuzione di Windows Update for Business, e sull’automazione opzionale con Windows Autopatch. L’obiettivo è un rollout prevedibile e basato su anelli (ring) degli aggiornamenti qualitativi e delle funzionalità, con interruzioni minime, mantenendo al contempo visibilità e controllo in tempo reale. In Intune, si configurano gli anelli di aggiornamento, le policy per gli aggiornamenti delle funzionalità e dei driver, e gli aggiornamenti qualitativi accelerati. Gli insight sulla conformità e sulla preparazione provengono dai report di Windows Update for Business in Azure Monitor e da Endpoint analytics. Per la migrazione a Windows 11 e il ripristino dei dispositivi, utilizzare il metodo di aggiornamento o di ripristino corretto in base agli obiettivi aziendali.

Anelli di Windows Update for Business, targeting delle funzionalità e driver

Gli anelli di aggiornamento definiscono l’esperienza di base per l’offerta e l’installazione degli aggiornamenti. In Intune, creare un anello di aggiornamento per Windows 10 e versioni successive e assegnarlo ai gruppi di Azure AD che rappresentano gli anelli di distribuzione (ad esempio: Pilota, Iniziale, Esteso). Configurare:

Periodi di differimento: Ritardano l’offerta degli aggiornamenti. I valori tipici sono 0–30 giorni per gli aggiornamenti qualitativi e 0–365 giorni per gli aggiornamenti delle funzionalità. I differimenti concedono tempo per monitorare la telemetria e il feedback iniziale prima di una distribuzione più ampia.
Scadenze: Impongono l’installazione entro un numero di giorni specificato dopo l’offerta di un aggiornamento (separatamente per gli aggiornamenti qualitativi e delle funzionalità). Le scadenze prevalgono sui differimenti dell’utente e garantiscono che i dispositivi completino l’installazione in una finestra temporale prevedibile.
Periodo di tolleranza per il riavvio: Fornisce una finestra temporale limitata dopo la scadenza prima del riavvio forzato. Combinare con il Riavvio automatico prima della scadenza per consentire a Windows di riavviarsi al di fuori dell’orario di attività quando necessario per rispettare la conformità. È inoltre possibile controllare le opzioni dell’esperienza utente, come la regolazione automatica dell’orario di attività, la possibilità per gli utenti di sospendere le scansioni e la ricezione di aggiornamenti per altri prodotti Microsoft. Fondamentalmente, l’impostazione Consenti aggiornamenti dei driver determina se i driver vengono offerti tramite Windows Update.

Le policy per gli aggiornamenti delle funzionalità eseguono il targeting e mantengono i dispositivi su una versione specifica di Windows, indipendentemente dai differimenti degli anelli. In Intune, utilizzare gli Aggiornamenti delle funzionalità per Windows 10 e versioni successive per selezionare un prodotto (Windows 10 o 11) e una versione di destinazione (ad esempio, Windows 11, versione 23H2). La policy utilizza il servizio di distribuzione di Windows Update for Business per “fissare” (pin) il dispositivo a quella versione finché non si modifica la policy o la versione raggiunge la fine del servizio. I blocchi di protezione (safeguard hold) — blocchi temporanei che Microsoft applica per proteggere i dispositivi con problemi di compatibilità noti — sono attivi per impostazione predefinita. Disabilitare i blocchi di protezione per gli aggiornamenti delle funzionalità solo se si è verificato che il problema non riguarda il proprio ambiente; ignorare i blocchi di protezione forza l’offerta dell’aggiornamento alla scansione successiva e può introdurre dei rischi.

La gestione degli aggiornamenti dei driver è gestita al meglio con le policy di gestione degli aggiornamenti dei driver di Windows in Intune. Su larga scala, impostare Consenti aggiornamenti dei driver = No negli anelli di aggiornamento per le distribuzioni estese e utilizzare il flusso di lavoro di gestione degli aggiornamenti dei driver per:

Individuare gli aggiornamenti di driver/firmware consigliati per modello e fornitore dal catalogo di Windows Update.
Approvare e pianificare i driver prima per gli anelli pilota, quindi promuoverli agli anelli più ampi dopo la convalida.
Sospendere o eseguire il rollback delle approvazioni di driver problematici se vengono rilevati problemi. Questo approccio disaccoppia i driver dalla normale cadenza degli aggiornamenti qualitativi e riduce il rischio di regressione.

Aggiornamenti accelerati e automazione con Windows Autopatch

Gli aggiornamenti qualitativi accelerati consentono di distribuire correzioni di sicurezza critiche al di fuori delle normali finestre di differimento. In Intune, creare una policy di Accelerazione degli aggiornamenti qualitativi per distribuire l’ultimo aggiornamento di sicurezza (o un KB specifico, se supportato) con una scadenza di installazione aggressiva e un breve periodo di tolleranza per il riavvio, misurato in ore o in un numero ridotto di giorni. Le policy di accelerazione prevalgono sui differimenti e sulle sospensioni. I requisiti includono dispositivi gestiti da Intune, che ricevono gli aggiornamenti direttamente da Windows Update (non da WSUS) e su cui sono presenti gli Strumenti di integrità di Windows Update. L’accelerazione si applica agli aggiornamenti qualitativi (di sicurezza), non agli aggiornamenti delle funzionalità, ed è destinata alla correzione urgente di minacce attive o vulnerabilità zero-day.

Windows Autopatch fornisce un’automazione end-to-end per gli aggiornamenti di Windows, Microsoft 365 Apps for enterprise, Edge e, facoltativamente, di driver/firmware, utilizzando anelli guidati dal servizio e l’orchestrazione delle policy. Dopo l’onboarding dei dispositivi idonei (Windows Enterprise E3/E5 o Microsoft 365 E3/E5; MDM di Intune; Azure AD join o hybrid Azure AD join), Autopatch assegna i dispositivi agli anelli di servizio — Test, First, Fast, Broad — secondo proporzioni predefinite e gestisce:

Anelli di Windows Update, targeting degli aggiornamenti delle funzionalità e sospensioni basate sui segnali.
Distribuzione progressiva con promozione/rollback automatizzati utilizzando segnali di integrità e blocchi di protezione.
Patching coordinato di Microsoft 365 Apps ed Edge per minimizzare il disallineamento (drift) tra app e sistema operativo. Autopatch è ideale quando si desidera che Microsoft gestisca la cadenza degli aggiornamenti, pur mantenendo visibilità e controllo su assegnazioni e misure di protezione (guardrail). È comunque possibile utilizzare gli aggiornamenti accelerati da Intune insieme ad Autopatch per eventi di sicurezza fuori banda.

Creazione di report di conformità, idoneità a Windows 11 e percorsi di aggiornamento/ripristino

I report di Windows Update for Business in Azure Monitor sostituiscono la soluzione legacy Update Compliance e forniscono insight quasi in tempo reale utilizzando le cartelle di lavoro di Azure Monitor e le query Kusto. Per l’abilitazione:

Creare un’area di lavoro Log Analytics in Azure e la risorsa dei report di Windows Update for Business, collegandola all’area di lavoro.
In Intune, distribuire i profili di Monitoraggio dell’integrità di Windows per abilitare i dati degli eventi degli aggiornamenti di Windows e impostare i dati di diagnostica su Obbligatorio (il minimo) in modo che i dispositivi possano inviare la telemetria necessaria.
Assegnare il profilo di connessione in modo che i dispositivi aggiunti ad Azure AD si autentichino alla pipeline di reporting. È quindi possibile monitorare gli stati di offerta/installazione degli aggiornamenti, i motivi dei blocchi di protezione, la conformità degli aggiornamenti delle funzionalità e di qualità, l’avanzamento dell’accelerazione e l’integrità della distribuzione per anello o gruppo di dispositivi, e creare avvisi utilizzando Azure Monitor.

Valutare l’idoneità a Windows 11 convalidando l’hardware e la compatibilità. I requisiti minimi includono una CPU a 64 bit compatibile (ad esempio, Intel 8th Gen/AMD Zen 2 o più recenti nelle liste supportate), 4 GB di RAM, 64 GB di spazio di archiviazione, UEFI con Secure Boot, TPM 2.0, scheda grafica compatibile con DirectX 12 con WDDM 2.0 e display/risoluzione appropriati. Utilizzare:

Il report di idoneità a Windows 11 di Endpoint analytics in Intune per inventariare lo stato di TPM/Secure Boot, la famiglia/modello della CPU, la RAM, lo spazio di archiviazione e gli elementi che bloccano l’idoneità su larga scala.
Le cartelle di lavoro dei report di Windows Update for Business per visualizzare l’idoneità all’aggiornamento delle funzionalità e i blocchi di protezione.
Test Base for Microsoft 365 per convalidare le applicazioni line-of-business critiche rispetto a Windows 11 e ai futuri aggiornamenti delle funzionalità.

Scegliere il metodo di transizione del sistema operativo corretto in base al risultato desiderato:

Aggiornamento sul posto: Utilizzare gli Aggiornamenti delle funzionalità per Windows 10 e versioni successive di Intune per spostare i dispositivi gestiti a una specifica versione di Windows 10/11 preservando app, dati e impostazioni. Questo è il metodo principale per la manutenzione delle funzionalità e la migrazione da Windows 10 a Windows 11 quando l’hardware è conforme. Rispetta i blocchi di protezione (a meno che non vengano esplicitamente disabilitati).
Fresh Start: Un’azione di correzione che reinstalla Windows e rimuove il software preinstallato dal produttore (OEM) e le app Win32. Tenta di conservare i dati dell’utente ma reimposta molte impostazioni. Utilizzarlo per rimuovere software indesiderato (de-bloat) o recuperare un dispositivo degradato senza una cancellazione completa. Il dispositivo rimane aggiunto ad Azure AD e gestito da MDM.
Ripristino di Autopilot: Ripristina un dispositivo registrato con Windows Autopilot a uno stato pronto per l’uso aziendale, preservando l’aggiunta ad Azure AD, il nome del dispositivo e la registrazione a Intune. Rimuove i profili utente e le app e riapplica le policy e le app destinate al dispositivo. Utilizzarlo per rieseguire rapidamente il provisioning di un dispositivo per un nuovo utente o per il ripristino dopo un danneggiamento, con la Pagina dello stato di registrazione che garantisce l’applicazione delle app e delle policy necessarie prima dell’uso. Completare queste operazioni con una buona gestione della strategia ad anelli: anelli pilota di piccole dimensioni con rinvii minimi o nulli, anelli progressivamente più grandi con rinvii e scadenze misurate, e scadenze rigide con brevi periodi di tolleranza per gli ambienti ad alto rischio. Utilizzare la gestione dei driver e gli aggiornamenti accelerati per gestire i casi anomali senza destabilizzare la cadenza principale.

Scenario pratico

Adobe deve spostare 45.000 endpoint Windows in tutto il mondo verso un ritmo di patching mensile prevedibile, pilotare l’adozione di Windows 11 e ridurre le regressioni legate ai driver che in passato hanno causato picchi di richieste all’helpdesk dopo il Patch Tuesday.

Definire gruppi di dispositivi Azure AD per gli anelli: Pilota (2%), Iniziale (8%), Generale (90%). Perché: una suddivisione chiara consente un’esposizione progressiva e pause mirate senza dover rimodellare le assegnazioni a ogni ciclo.
Creare anelli di aggiornamento di Windows in Intune: Pilota con rinvii di 0 giorni, scadenze per gli aggiornamenti di qualità di 3 giorni, tolleranza di 1 giorno; Iniziale con rinvio per la qualità di 7 giorni, scadenza di 7 giorni, tolleranza di 2 giorni; Generale con rinvio per la qualità di 14 giorni, scadenza di 7 giorni, tolleranza di 2 giorni. Impostare Consenti aggiornamenti dei driver = No per Iniziale/Generale. Perché: un anello Pilota ristretto accelera la ricezione di feedback; i rinvii scaglionati riducono il raggio d’impatto; la disabilitazione dei driver negli anelli più grandi minimizza le regressioni hardware.
Implementare gli Aggiornamenti delle funzionalità per Windows 10 e versioni successive per indirizzare Windows 11, versione 23H2, solo per l’anello Pilota; mantenere gli anelli Iniziale/Generale sulle loro versioni attuali. Rispettare i blocchi di protezione. Perché: blocca i dispositivi a una versione delle funzionalità testata, si allinea con la validazione ad anelli ed evita aggiornamenti accidentali tramite i soli anelli.
Abilitare la gestione degli aggiornamenti dei driver di Windows. Approvare mensilmente i driver consigliati dal fornitore per l’anello Pilota; promuoverli agli anelli Iniziale/Generale dopo una settimana di telemetria senza problemi. Perché: il controllo centralizzato delle approvazioni disaccoppia i driver dagli aggiornamenti di qualità e fornisce una leva per il rollback.
Configurare i report di Windows Update for Business con un’area di lavoro Log Analytics dedicata e profili di Monitoraggio dell’integrità di Windows. Creare cartelle di lavoro e avvisi per anello per il successo dell’installazione, i blocchi di protezione e gli eventi che attivano un rollback. Perché: Azure Monitor offre viste di conformità in tempo reale e avvisi per problemi come il superamento di una soglia di errori di installazione.
Utilizzare il report di idoneità a Windows 11 di Endpoint analytics per identificare gli elementi bloccanti relativi a CPU/TPM/Secure Boot e porvi rimedio tramite aggiornamenti del firmware o piani di sostituzione. Perché: l’inventario dell’idoneità su larga scala previene gli aggiornamenti falliti e fornisce informazioni per il rinnovo dell’hardware.
Eseguire l’onboarding dei dispositivi idonei su Windows Autopatch per l’automazione continua degli aggiornamenti di qualità di Windows e delle versioni di Microsoft 365 Apps, mantenendo inizialmente i dispositivi Pilota fuori da Autopatch per conservare un controllo sperimentale più stretto. Perché: Autopatch riduce il carico operativo preservando al contempo una corsia pilota curata per il controllo delle modifiche.
Preparare una policy per accelerare gli aggiornamenti di qualità con una scadenza di 2 giorni e una tolleranza per il riavvio di 8 ore per scenari zero-day; testarla ora sull’anello Pilota. Perché: impostazioni di accelerazione pre-validate consentono una risposta rapida e sicura a minacce di sicurezza urgenti senza dover riconfigurare gli anelli durante un incidente.
Stabilire dei playbook di ripristino: utilizzare il Ripristino di Autopilot per il re-provisioning dei dispositivi che presentano errori con l’applicazione forzata della ESP; riservare Fresh Start per la rimozione del software indesiderato (de-bloat) del produttore e la correzione su modelli selezionati. Perché: i percorsi di ripristino corretti accelerano il recupero e garantiscono che le app/policy necessarie vengano riapplicate prima dell’accesso dell’utente.

Questo progetto combina l’automazione guidata dai servizi (Autopatch) con il controllo delle policy di Intune e gli insight di Azure Monitor per fornire una manutenzione di Windows sicura, osservabile e rapida su scala aziendale.

← Co-gestione e ambienti ibridi · Tutti i domini · Gestione remota e monitoraggio →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →