Pianificare la distribuzione del dispositivo Microsoft Entra

Questo articolo illustra come valutare i metodi per integrare il dispositivo con Microsoft Entra ID, e come scegliere il piano di implementazione, e fornisce i collegamenti principali agli strumenti di gestione dei dispositivi supportati.

Il panorama dei dispositivi dell'utente è costantemente in espansione. Le organizzazioni possono fornire desktop, portatili, telefoni, tablet e altri dispositivi. Gli utenti possono usare la propria gamma di dispositivi e accedere alle informazioni da posizioni diverse. In questo ambiente, il processo come amministratore consiste nel proteggere le risorse dell'organizzazione in tutti i dispositivi.

Microsoft Entra ID consente all'organizzazione di soddisfare questi obiettivi con la gestione delle identità dei dispositivi. È ora possibile ottenere i dispositivi in Microsoft Entra ID e controllarli da una posizione centrale nell'interfaccia di amministrazione di Microsoft Entra. Questo processo offre un'esperienza unificata, una sicurezza avanzata e riduce il tempo necessario per configurare un nuovo dispositivo.

Esistono diversi metodi per integrare i dispositivi in Microsoft Entra ID, possono funzionare separatamente o insieme in base al sistema operativo e ai requisiti:

Apprendere

Prima di iniziare, assicurarsi di avere familiarità con la panoramica della gestione delle identità dei dispositivi.

Vantaggi

I vantaggi principali di offrire ai dispositivi un'identità Microsoft Entra:

Pianificare il progetto di distribuzione

Considerare le esigenze organizzative quando si determina la strategia per la distribuzione nell'ambiente in uso.

Coinvolgere gli stakeholder appropriati

Quando i progetti tecnologici non hanno successo, in genere la causa è legata alle diverse aspettative in merito a conseguenze, risultati e responsabilità. Per evitare queste insidie, assicurarsi di coinvolgere gli stakeholder appropriati e che i ruoli degli stakeholder nel progetto siano ben compresi.

Per questo piano, aggiungere gli stakeholder seguenti all'elenco:

Ruolo Descrizione
Amministratore di dispositivi Un rappresentante del team del dispositivo che può verificare che il piano soddisfi i requisiti del dispositivo dell'organizzazione.
Amministratore di rete Un rappresentante del team di rete che può assicurarsi di soddisfare i requisiti di rete.
Team di gestione dei dispositivi Team che gestisce l'inventario dei dispositivi.
Team di amministrazione specifici del sistema operativo Teams che supportano e gestiscono versioni specifiche del sistema operativo. Ad esempio, potrebbe esserci un team incentrato su Mac o iOS.

Pianificare le comunicazioni

La comunicazione è fondamentale per il successo di un nuovo servizio. Comunica in modo proattivo con gli utenti su come cambierà l'esperienza, quando verrà modificata, e su come ottenere supporto in caso di problemi.

Pianificare un progetto pilota

È consigliabile che la configurazione iniziale del metodo di integrazione si trova in un ambiente di test o con un piccolo gruppo di dispositivi di test. Consultare Procedure consigliate per un progetto pilota.

È consigliabile eseguire una distribuzione mirata di Microsoft Entra hybrid join prima di abilitarla nell'intera organizzazione.

Avviso

Le organizzazioni devono includere un esempio di utenti di ruoli e profili diversi nel gruppo pilota. Un'implementazione mirata consentirà di identificare eventuali problemi che il piano potrebbe non aver affrontato prima di abilitarla per l'intera organizzazione.

Scegliere i metodi di integrazione

L'organizzazione può usare più metodi di integrazione dei dispositivi in un singolo tenant di Microsoft Entra. L'obiettivo è scegliere i metodi adatti per gestire i dispositivi in modo sicuro in Microsoft Entra ID. Esistono molti parametri che determinano questa decisione, tra cui proprietà, tipi di dispositivo, destinatari primari e infrastruttura dell'organizzazione.

Le informazioni seguenti consentono di decidere quali metodi di integrazione usare.

Albero delle decisioni per l'integrazione dei dispositivi

Usare questo albero per determinare le opzioni per i dispositivi di proprietà dell'organizzazione.

Nota

Gli scenari BYOD (Personal or Bring Your Own Device) non sono illustrati in questo diagramma. Generano sempre la registrazione di Microsoft Entra.

Albero delle decisioni

Matrice di confronto

I dispositivi iOS e Android possono essere registrati solo da Microsoft Entra. La tabella seguente presenta considerazioni generali per i dispositivi client Windows. Usarlo come panoramica, quindi esplorare in dettaglio i diversi metodi di integrazione.

Considerazione Microsoft Entra registrato Microsoft Entra aggiunto Microsoft Entra aggiunto ibrido
Sistemi operativi client
Dispositivi Windows 11 o Windows 10 Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
Dispositivi Windows di livello inferiore (Windows 8.1 o Windows 7) Segno di spunta per questi valori.
Desktop Linux - Ubuntu 20.04/22.04 Segno di spunta per questi valori.
Opzioni di accesso
Credenziali locali dell'utente finale Segno di spunta per questi valori.
Password Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
PIN del dispositivo Segno di spunta per questi valori.
Windows Hello Segno di spunta per questi valori.
Windows Hello for Business (Configurare Windows Hello for Business) Segno di spunta per questi valori. Segno di spunta per questi valori.
Chiavi di sicurezza FIDO 2.0 Segno di spunta per questi valori. Segno di spunta per questi valori.
App Microsoft Authenticator (senza password) Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
Funzionalità principali
Accesso Single Sign-On alle risorse cloud Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
Accesso SSO alle risorse locali Segno di spunta per questi valori. Segno di spunta per questi valori.
Accesso condizionale
(Richiedere che i dispositivi siano contrassegnati come conformi)
(Deve essere gestito da MDM)
Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
Accesso condizionale
(Richiedere dispositivi aggiunti a Microsoft Entra ibrido)
Segno di spunta per questi valori.
Reimpostazione della password self-service dalla schermata di accesso di Windows Segno di spunta per questi valori. Segno di spunta per questi valori.
Reimpostazione del PIN di Windows Hello Segno di spunta per questi valori. Segno di spunta per questi valori.

Registrazione a Microsoft Entra

I dispositivi registrati vengono spesso gestiti con Microsoft Intune. I dispositivi vengono registrati in Intune in diversi modi, a seconda del sistema operativo.

I dispositivi registrati Microsoft Entra forniscono supporto per i dispositivi BYOD (Bring Your Own Devices) e i dispositivi di proprietà dell'azienda per l'accesso SSO alle risorse cloud. L'accesso alle risorse si basa sui criteri di accesso condizionale di Microsoft Entra applicati al dispositivo e all'utente.

Registrazione dei dispositivi

I dispositivi registrati vengono spesso gestiti con Microsoft Intune. I dispositivi vengono registrati in Intune in diversi modi, a seconda del sistema operativo.

BYOD e dispositivo mobile di proprietà dell'azienda vengono registrati dagli utenti che installano l'app Portale aziendale.

Se la registrazione dei dispositivi è l'opzione migliore per l'organizzazione, vedere le risorse seguenti:

Aggiunta a Microsoft Entra

Microsoft Entra join consente di passare a un modello cloud-first con Windows. Offre un'ottima base se si prevede di modernizzare la gestione dei dispositivi e ridurre i costi IT correlati ai dispositivi. L'aggiunta a Microsoft Entra funziona solo con i dispositivi Windows 10 o versioni successive. Considerarlo come la prima scelta per i nuovi dispositivi.

I dispositivi aggiunti a Microsoft Entra possono accedere SSO alle risorse locali quando si trovano nella rete dell'organizzazione, possono eseguire l'autenticazione a server locali come file, stampa e altre applicazioni.

Se questa opzione è ideale per l'organizzazione, vedere le risorse seguenti:

Provisioning dei dispositivi aggiunti a Microsoft Entra

Per effettuare il provisioning dei dispositivi nell'aggiunta a Microsoft Entra, sono disponibili gli approcci seguenti:

Se nel dispositivo è installato Windows 10 Professional o Windows 10 Enterprise, per impostazione predefinita viene avviato il processo di installazione dei dispositivi di proprietà dell'azienda.

Scegliere la procedura di distribuzione dopo un confronto accurato di questi approcci.

È possibile determinare che l'aggiunta a Microsoft Entra è la soluzione migliore per un dispositivo in uno stato diverso. La tabella seguente illustra come modificare lo stato di un dispositivo.

Stato corrente del dispositivo Stato del dispositivo desiderato Procedure
Aggiunto a un dominio locale Aggiunto a Microsoft Entra Annullare l'aggiunta del dispositivo dal dominio locale prima di aggiungere a Microsoft Entra ID.
Microsoft Entra aggiunto ibrido Aggiunto a Microsoft Entra Annullare l'aggiunta del dispositivo dal dominio locale e da Microsoft Entra ID prima di accedere a Microsoft Entra ID.
Microsoft Entra registrato Aggiunto a Microsoft Entra Annullare la registrazione del dispositivo prima di accedere a Microsoft Entra ID.

Aggiunta a Microsoft Entra ibrido

Se si dispone di un ambiente Active Directory locale e si vuole aggiungere i computer esistenti aggiunti a un dominio a Microsoft Entra ID, è possibile eseguire questa attività con l'aggiunta ibrida Microsoft Entra. Supporta un’ampia gamma di dispositivi Windows, inclusi i dispositivi Windows correnti e Windows di livello inferiore.

La maggior parte delle organizzazioni dispone già di dispositivi aggiunti a un dominio e li gestisce tramite Criteri di gruppo o System Center Configuration Manager (SCCM). In tal caso, è consigliabile configurare l'aggiunta ibrida a Microsoft Entra per iniziare a ottenere vantaggi durante l'uso degli investimenti esistenti.

Se l'aggiunta ibrida a Microsoft Entra è l'opzione migliore per l'organizzazione, vedere le risorse seguenti:

Provisioning dell'aggiunta ibrida di Microsoft Entra ai dispositivi

Esame dell'infrastruttura di gestione delle identità. Microsoft Entra Connect offre una procedura guidata per configurare l'aggiunta ibrida a Microsoft Entra per:

Se l'installazione della versione richiesta di Microsoft Entra Connect non è un'opzione, vedere come configurare manualmente l'aggiunta ibrida a Microsoft Entra.

Nota

Il dispositivo Windows 10 o versione successiva aggiunto al dominio locale tenta di aggiungere automaticamente Microsoft Entra ID per diventare aggiunto ibrido a Microsoft Entra per impostazione predefinita. Questa operazione avrà esito positivo solo se è stato configurato l'ambiente corretto.

È possibile determinare che l'aggiunta ibrida di Microsoft Entra è la soluzione migliore per un dispositivo in uno stato diverso. La tabella seguente illustra come modificare lo stato di un dispositivo.

Stato corrente del dispositivo Stato del dispositivo desiderato Procedure
Aggiunto a un dominio locale Microsoft Entra aggiunto ibrido Usare Microsoft Entra Connect o AD FS per l'aggiunta ad Azure.
Gruppo di lavoro locale aggiunto o nuovo Microsoft Entra aggiunto ibrido Supportato con Windows Autopilot. In caso contrario, il dispositivo deve essere aggiunto a un dominio locale prima dell'aggiunta ibrida a Microsoft Entra.
Microsoft Entra aggiunto Microsoft Entra aggiunto ibrido Annullare l'accesso da Microsoft Entra ID, che lo inserisce nel gruppo di lavoro locale o nuovo stato.
Microsoft Entra registrato Microsoft Entra aggiunto ibrido Dipende dalla versione di Windows. Vedere queste considerazioni.

Gestire i dispositivi

Dopo aver registrato o aggiunto i dispositivi a Microsoft Entra ID, usare l'interfaccia di amministrazione di Microsoft Entra come posizione centrale per gestire le identità dei dispositivi. La pagina dei dispositivi Microsoft Entra consente di:

Assicurarsi di mantenere pulito l'ambiente gestendo i dispositivi non aggiornati e concentrandosi sulla gestione dei dispositivi correnti.

Strumenti di gestione dei dispositivi supportati

Gli amministratori possono proteggere e controllare ulteriormente i dispositivi registrati e aggiunti usando altri strumenti di gestione dei dispositivi. Questi strumenti forniscono un modo per applicare le configurazioni, ad esempio la crittografia della risorsa di archiviazione, la complessità delle password, le installazioni software e gli aggiornamenti software.

Esaminare le piattaforme supportate e non supportate per i dispositivi integrati:

Strumenti di gestione dei dispositivi Microsoft Entra registrato Microsoft Entra aggiunto Microsoft Entra aggiunto ibrido
Gestione di dispositivi mobili (MDM)
Esempio: Microsoft Intune
Segno di spunta per questi valori. Segno di spunta per questi valori. Segno di spunta per questi valori.
Co-gestione con Microsoft Intune e Microsoft Configuration Manager
(Windows 10 o versione successiva)
Segno di spunta per questi valori. Segno di spunta per questi valori.
Criteri di gruppo
(Solo Windows)
Segno di spunta per questi valori.

È consigliabile prendere in considerazione la gestione di applicazioni mobili (MAM) di Microsoft Intune con o senza gestione dei dispositivi per dispositivi iOS o Android registrati.

Gli amministratori possono anche distribuire piattaforme VDI (Virtual Desktop Infrastructure) che ospitano sistemi operativi Windows nelle organizzazioni per semplificare la gestione e ridurre i costi tramite il consolidamento e la centralizzazione delle risorse.

Passaggi successivi