Intune non può ancora creare un'immagine bare-metal di un dispositivo e altre cose che nessuno ha detto all'IT

Il mandato è venuto dalla leadership, non dall'IT

Quasi tutti gli amministratori che gestiscono un ambiente ibrido in questo momento hanno sentito la stessa domanda: "Perché non siamo ancora completamente migrati a Intune?" Di solito è accompagnata dall'assunzione implicita che il ritardo sia dovuto all'inerzia, o a un team IT che si sente a suo agio con uno strumento vecchio e riluttante a impararne uno nuovo.

Non è quello che sta succedendo. Gli amministratori che hanno passato mesi a testare Intune come sostituto completo per Criteri di gruppo continuano ad arrivare alla stessa conclusione: Intune non è ancora pronto. Ha punti di forza reali, ma come sostituto diretto dei Criteri di gruppo, non è ancora lì.

Cosa che Intune ancora non fa

Nessuna imaging bare metal.

La Group Policy abbinata alla sequenza di attività consente agli amministratori di cancellare un dispositivo e ricaricare un sistema operativo pulito da zero, comprese installazioni complesse e multistadio che richiedono riavvii intermedi. Autopilot non sostituisce questo. Prepara un dispositivo che ha già un sistema operativo installato. Gli amministratori segnalano di spedire macchine "pulite" agli utenti finali ancora cariche di bloatware del produttore, perché non esiste un equivalente di una sequenza di attività per rimuoverlo prima.

I server non sono mai stati in ambito, e va bene così.

Intune gestisce i dispositivi client. Non è mai stato progettato per gestire Windows Server, quindi le politiche di accesso condizionale e l'applicazione della conformità si fermano alla postazione di lavoro per progettazione, non per caso. Non è una lacuna nella roadmap; è un confine tracciato appositamente.

Il motivo per cui questo raramente crea problemi nella pratica è che gli ambienti ibridi hanno già la gestione dei server coperta altrove. SCCM gestisce ancora la patching di Windows Server on-premise e le installazioni da zero. Azure Arc estende l'applicazione delle policy e della conformità ai server ovunque si trovino, on-premise o in un'altra cloud. VMware vSphere gestisce il provisioning e l'imaging tramite template e clonazione. Ansible (o AWX Tower) si occupa dell'applicazione continua della configurazione che prima era gestita da Group Policy. Qui non manca nulla, è solo suddiviso tra una manciata di strumenti che la maggior parte dei team di infrastruttura già utilizza.

Meno gerarchia, più soluzioni alternative.

La struttura OU di Active Directory consente agli amministratori di rispecchiare come è organizzata un'azienda, per reparto, posizione o livello del dispositivo, annidando le eccezioni in modo pulito e delegando i diritti di amministratore a ogni livello. Anche i gruppi Entra ID possono essere annidati, ma le linee guida di Microsoft scoraggiano gli amministratori dal farlo: annidare un gruppo grande all'interno di un obiettivo Intune forza Intune a risincronizzare ogni gruppo e membro sottostante, trasformando una piccola eccezione in un problema di prestazioni anziché in un modello di ereditarietà pulito.

I filtri di assegnazione e i tag di ambito riprendono parte di ciò che faceva la delega basata su OU, definendo la visibilità e il targeting senza un annidamento completo. Nessuno dei due ricrea la vera ereditarietà, ma il controllo in stile delega è più vicino di quanto sembri a prima vista.

Il raggruppamento dinamico esiste ancora in Intune, solo che è più ristretto rispetto a quello a cui sono abituati gli amministratori delle Group Policy. I gruppi dinamici di dispositivi di Entra ID possono filtrare attributi come produttore e modello, e i filtri di assegnazione di Intune aggiungono proprietà del dispositivo come versione del sistema operativo e architettura della CPU oltre a ciò. Ciò che manca è il raggruppamento o il filtraggio dinamico basato sul software installato, una query di routine negli ambienti Group Policy che non ha un equivalente nativo in Intune oggi.

Copertura più vicina, ma non completa.

Criteri di gruppo supporta circa 4.000 impostazioni ADMX. Il Catalogo delle impostazioni di Intune ora copre oltre 18.000 impostazioni su tutte le piattaforme e solo i Modelli amministrativi, la diretta trasposizione da GPO, rappresentano circa 2.500 di queste. I numeri grezzi non sono più la vera storia. Ciò che rimane è un insieme di comportamenti specifici di GPO che non hanno ancora un equivalente pulito in Intune: Preferenze Criteri di gruppo, alcune configurazioni legacy basate su script e impostazioni che dipendono da funzionalità che il modello CSP di Intune non espone ancora. Questo divario viene colmato con script e profili di configurazione manuale, ricostruendo a mano ciò che prima era una casella di controllo.

Le preferenze dei criteri di gruppo non hanno una casa.

Le unità mappate, le connessioni della stampante e le dozzine di piccole impostazioni di preferenza che GPP gestiva automaticamente ora richiedono scripting o strumenti di terze parti per essere replicate.

Applicazione lenta e imprevedibile delle politiche.

Dove la Group Policy applica le modifiche in pochi secondi, Intune si affida al Windows Notification Service per trasmettere la policy ai dispositivi, e quella pipeline è effettivamente una scatola nera. Gli amministratori hanno documentato tempi di sincronizzazione che vanno dall’istantaneo fino a 72 ore per la stessa policy, senza un modo affidabile per forzarla quando la scadenza è reale.

La risoluzione dei problemi sta recuperando, non è ancora arrivata.

Criteri di gruppo dispone di RSoP e gpupdate, strumenti creati appositamente per rispondere a "perché non si applica" in pochi minuti. Intune ora ha equivalenti approssimativi: Sincronizza forza un controllo della policy su richiesta, e lo stato della policy per impostazione mostra quali policy sono state applicate a un dispositivo e perché. Copilot in Intune aggiunge un analizzatore di codici di errore e un confronto affiancato dei dispositivi oltre a ciò, e da metà 2026 questo è incluso in Microsoft 365 E5, senza necessità di licenza separata.

Ciò che manca ancora è la maturità, non il concetto. Questi strumenti sono più recenti e gli amministratori segnalano risultati incoerenti su tutto ciò che va oltre le basi. Il vantaggio di 20 anni che ha la Group Policy sul "perché questo non si applica" non si è completamente colmato, ma il divario è più stretto di quanto sembri.

Nessun controllo nativo della larghezza di banda.

Gli ambienti di Criteri di Gruppo che eseguono SCCM possono programmare distribuzioni con BranchCache o PeerCache in modo che un singolo sito non sovraccarichi un collegamento WAN lento scaricando ripetutamente lo stesso contenuto. Intune scarica da internet per dispositivo, senza caching peer-to-peer per distribuire quel carico su un sito. Per le località con larghezza di banda limitata, ciò significa distribuzioni più lente e, in alcuni casi, fallimenti totali senza soluzione nativa.

Controlli delle applicazioni che richiedono SID grezzi e strumenti di terze parti.

La lista di consentiti per applicazioni granulare, il tipo che gli ambienti di Criteri di Gruppo gestiscono con AppLocker, è un compito più impegnativo in Intune. Fare riferimento ai principali di sicurezza spesso significa specificare SID grezzi invece di nomi amichevoli, e la patch di terze parti per qualsiasi cosa al di fuori degli aggiornamenti di Windows richiede uno strumento separato.

Intune va bene se sei cloud-first

Niente di tutto ciò significa che Intune sia un prodotto scadente. È davvero adatto per ambienti semplici e cloud-first. L'infrastruttura di Microsoft per fornire aggiornamenti mensili del sistema operativo è eccellente. Il problema è più ristretto e specifico: come sostituto completo e immediato di tutto ciò che faceva Group Policy, Intune non è ancora pronto, e fingere il contrario sposta solo il problema da una slide della roadmap a una coda del help desk.

Ecco perché molte organizzazioni descrivono il loro rollout di Intune come "ibrido per un paio d'anni in più" invece che "completato." Non è un problema di persone. È una lacuna negli strumenti che Netwrix PolicyPak è stato creato per colmare.

Come PolicyPak estende ciò che Group Policy già fa bene

PolicyPak non chiede ai team di eliminare la Group Policy e ricominciare da capo. Si posiziona sopra l'infrastruttura già esistente ed estende la stessa logica di policy a ogni endpoint, sia che sia unito al dominio, remoto o già registrato in Intune.

• Profondità completa ADMX, non un sottoinsieme: Il Gestore dei Modelli Amministrativi è supportato da ADMX, quindi le migliaia di impostazioni granulari supportate dalla Criteri di Gruppo rimangono disponibili invece di essere ricostruite manualmente come script.
• Preferenze Criteri di Gruppo, ancora automatizzate: Il Gestore GPP continua a gestire unità mappate, stampanti e altre impostazioni di preferenza che mantenevano silenziosamente i desktop coerenti, senza bisogno di scripting.
• Gerarchia reale e consolidamento: Le GPO estese vengono consolidate per ridurre il gonfiore e migliorare le prestazioni, mantenendo il modello di targeting basato su OU che gli amministratori già comprendono.
• Reportistica di conformità che dimostra l'applicazione: Il Report di Conformità delle Policy di Gruppo offre ai team un modo per mostrare cosa viene applicato nell'ambiente, non solo cosa è configurato, il che conta tanto per un audit quanto per una sessione di troubleshooting di martedì pomeriggio.
• Copertura che segue l'endpoint, non il dominio: Per dispositivi che non entrano mai in contatto con un controller di dominio, PolicyPak Cloud e il suo GPO Export Manager applicano le stesse politiche agli endpoint gestiti tramite Intune o altre piattaforme MDM e UEM. Un laptop remoto iscritto a Intune riceve le stesse regole di minimo privilegio e configurazione del desktop di una macchina in un ufficio unito al dominio.
• Controlli di sicurezza progettati per l'endpoint: I diritti di amministratore locale vengono rimossi, mentre gli utenti standard ottengono ancora percorsi di elevazione sicuri e specifici. La whitelist basata sul proprietario del file blocca applicazioni e script non affidabili con una singola policy, e la protezione contro il DLL hijack affronta una classe di vulnerabilità comune nel software desktop più vecchio. I controlli per applicazioni, browser, Java e dispositivi rimovibili completano la copertura, tutto gestito da una console.
• Distribuzione e patch semplificate: La distribuzione del software, le patch automatiche e la rimozione funzionano su Windows, WinGet e fonti web, colmando la lacuna delle patch di terze parti che Intune lascia solo per gli aggiornamenti di Windows.
• Privilegio minimo che non è solo per Windows: Il Least Privilege Manager estende i controlli di approvazione amministrativa e permessi delle cartelle a Mac, non solo a Windows, così gli ambienti endpoint ibridi ottengono la gestione dei privilegi minimi da una console unica invece di uno strumento Windows più un processo Mac separato.

Cosa che PolicyPak non cerca di essere

Per essere chiari sul confine: PolicyPak non esegue imaging bare metal o sequenze di attività, e non è un sostituto per qualunque strumento stia attualmente gestendo l'OSD. Ciò che fa è assicurarsi che, una volta che un dispositivo esiste, sia che sia stato immaginato, Autopilotato o registrato tramite Intune, sia configurato, bloccato e segnalabile utilizzando lo stesso motore di policy e lo stesso livello di profondità di cui i team si fidano già.

I team non devono scegliere tra la maturità di Group Policy e la portata di Intune. PolicyPak mantiene la gerarchia, la granularità e la profondità dei report che hanno richiesto 20 anni per essere costruiti, e li estende a ogni endpoint che Intune ora gestisce. Scopri come si integra nel tuo ambiente attuale.