Con l’adozione crescente del Mac nelle aziende — spinta anche dalla diffusione di team di sviluppo che lavorano su stack .NET, container e toolchain cross-platform — la gestione di macOS tramite Microsoft Intune è diventata una competenza che ogni sistemista Windows-centrico deve acquisire, prima o poi. Microsoft ha recentemente aggiornato la guida di deployment per macOS, chiarendo i percorsi di enrollment disponibili e distinguendoli per tipo di proprietà del dispositivo (personale, aziendale o condiviso). Vediamo nel dettaglio come funzionano, quali prerequisiti servono e quali insidie tecniche — bootstrap token, kernel extension, macchine virtuali di test — meritano attenzione.
Prerequisiti: cosa serve prima di iniziare
Prima di pianificare qualsiasi enrollment macOS, occorre completare una checklist di base:
Occorre: verificare l’eleggibilità dei dispositivi all’Apple device enrollment (articolo Apple HT204142); configurare il dominio personalizzato nel tenant; impostare l’MDM Authority su Intune; ottenere e caricare un certificato Apple MDM push (APNs), da rinnovare annualmente — lasciarlo scadere è uno degli errori operativi più comuni, e comporta la perdita di gestione sull’intera flotta Mac fino al rinnovo; assegnare le licenze utente nel Microsoft 365 admin center; creare i gruppi di assegnazione per policy e app; e configurare l’app Company Portal, che non è distribuita tramite App Store, quindi richiede una via alternativa di distribuzione (link diretto o pacchetto pre-caricato).
Per la gestione dei permessi, Microsoft consiglia di assegnare il ruolo con privilegio minimo necessario: per il solo enrollment dei dispositivi, il ruolo built-in Policy and Profile Manager è sufficiente e va preferito a ruoli amministrativi più ampi.
I quattro metodi di enrollment e quando usarli
| Metodo | Proprietà | Caso d’uso |
|---|---|---|
| BYOD | Personale | Dispositivi dell’utente, per organizzazioni con policy Bring Your Own Device |
| Apple Automated Device Enrollment (ADE) | Aziendale | Dispositivi acquistati tramite Apple Business Manager o Apple School Manager; enrollment automatico via etere, senza toccare ogni singolo dispositivo |
| Direct Enrollment | Aziendale, senza affinità utente | Dispositivi condivisi o retail; non effettua wipe, quindi adatto a device che non devono conservare dati utente locali; profilo trasferito via USB da un Mac con Apple Configurator |
| Device Enrollment Manager (DEM) | Aziendale | Un account DEM può registrare fino a 1.000 dispositivi aziendali; utile per il personale IT che prepara i Mac prima della consegna agli utenti |
Un dettaglio che genera spesso confusione: lo stato “corporate-owned” abilita funzionalità di gestione più estese, ma non può essere assegnato ai dispositivi registrati tramite Apple Business senza passare da ADE. È comunque possibile cambiare l’etichetta di proprietà dopo l’enrollment, modificando anche cosa si può gestire da remoto.
BYOD: il flusso utente
Per l’enrollment personale, l’utente ha due strade equivalenti:
1. Accedere a https://portal.manage.microsoft.com
e seguire le istruzioni a schermo per aggiungere il dispositivo
2. Oppure installare l'app Company Portal per Mac da aka.ms/EnrollMyMac
e seguire le istruzioni a schermoUser-approved enrollment: perché conta anche se non lo scegliete voi
Un punto tecnico poco noto ma importante: tutti gli enrollment Mac in Intune sono considerati “user-approved”, con lo stesso livello di controllo dei dispositivi supervisionati tramite ADE o Apple Configurator. Su macOS 11 e versioni successive, Intune abilita automaticamente la supervisione per i dispositivi user-approved — inclusi quelli aggiornati successivamente a macOS 11+. Il flusso lato utente è:
- L’utente accede a Company Portal, che apre le Preferenze di Sistema e richiede l’installazione del profilo di gestione.
- L’utente deve andare in Preferenze di Sistema > Profili per approvare il profilo (chi salta questo passaggio può approvarlo in un secondo momento).
Per verificare lo stato, nell’Intune admin center: Devices > All devices > [dispositivo macOS] > Hardware > User approved enrollment. Attenzione: gli enrollment BYOD effettuati prima di giugno 2020 potrebbero non essere user-approved, con limitazioni di gestione da tenere a mente in caso di flotte “storiche”.
Bootstrap token: la funzionalità che risolve i problemi di Apple Silicon
Uno degli aspetti più tecnici — e più frequentemente fonte di ticket di supporto — riguarda i bootstrap token, supportati sui Mac enrollati con macOS 10.15 e successivi. Il bootstrap token concede la volume ownership agli account utente locali e guest, permettendo a utenti non amministratori di approvare operazioni altrimenti riservate agli admin, come gli aggiornamenti software avviati dall’utente e l’installazione di kernel extension sui Mac Apple Silicon.
Il token viene generato automaticamente quando un Mac appena registrato effettua il check-in con Intune e un utente con secure token abilitato (tipicamente un amministratore Intune) effettua il login con la password in chiaro; a quel punto viene escrowed (depositato in custodia) su Intune. È disponibile anche uno strumento da riga di comando per l’escrow manuale, documentato da Apple in “Use secure token, bootstrap token, and volume ownership in deployments”.
Per verificare se un dispositivo ha il bootstrap token correttamente depositato: Devices > By platform > macOS > [dispositivo] > Hardware > Bootstrap token escrowed (Sì/No). Le implicazioni pratiche sugli aggiornamenti software cambiano in base a versione macOS e tipo di enrollment:
| Scenario | Comportamento |
|---|---|
| Enrollment ADE, macOS 11.1 | Gli update avviati dall’utente funzionano con bootstrap token presente |
| Non enrollato via ADE | Richiede il riavvio in recovery mode per abbassare le impostazioni di sicurezza |
| macOS 11.2 e successivi | Il dispositivo deve essere supervisionato |
Kernel extension: in via di estinzione, ma ancora da gestire
Apple non raccomanda più l’uso di kernel extension, a favore delle system extension. Sui dispositivi ADE con macOS 11+, la gestione è automatica; su quelli non-ADE, invece, richiede il riavvio in recovery mode per abbassare temporaneamente le impostazioni di sicurezza — su una flotta distribuita, questo significa coinvolgere fisicamente l’utente o il supporto on-site. Un argomento in più a favore di ADE come standard per i dispositivi aziendali.
Testare su macchine virtuali: attenzione al numero di serie
Chi vuole validare policy e profili prima del rollout su hardware reale può usare macchine virtuali, ma solo per test — Microsoft sconsiglia l’uso di VM come dispositivi ufficiali, e l’enrollment fallisce se la VM non espone un modello hardware e un numero di serie validi. Su Parallels Desktop basta impostare un numero di serie alfanumerico qualsiasi e usare il model identifier del Mac host (da “Informazioni su questo Mac > Report di sistema”); su VMware Fusion (solo Mac Intel) occorre aggiungere al file .vmx le righe serialNumber = "ABC123456789" e hw.model = "MacBookAir10,1"; su Apple Silicon con Parallels non servono modifiche.
Compliance, Conditional Access e sicurezza endpoint
Le policy di compliance definiscono le regole che un dispositivo deve soddisfare per accedere alle risorse aziendali; un Mac non conforme può ricevere una notifica, perdere l’accesso o essere sottoposto a wipe. Il Conditional Access può incrociare l’esito della compliance con policy basate su dispositivo o su app: per bloccare l’autenticazione legacy serve una policy app-based che blocchi i client non-OAuth2, ma prima vale la pena controllare il report sulle attività di autenticazione in Entra ID, perché alcuni servizi (come i kiosk dei calendari delle sale riunioni) possono ancora dipendere dalla basic authentication, e bloccarla senza preavviso li rompe. Sul fronte della protezione, Intune gestisce su macOS i controlli di Firewall, Gatekeeper e FileVault, e si integra con Microsoft Defender for Endpoint per visualizzare minacce e applicare remediation dalla console.
Un ultimo dettaglio utile per i replacement hardware: quando un utente passa a un Mac nuovo tramite Migration Assistant, il profilo di gestione non viene copiato — il nuovo dispositivo riceve un profilo nuovo alla registrazione. Le credenziali di Company Portal possono invece trasferirsi insieme ai dati; per pulirle serve un logout e un nuovo login.
Conclusione
La gestione di macOS con Intune è ormai una piattaforma matura, ma resta piena di dettagli che non sono ovvi a chi arriva da un mondo puramente Windows: lo stato “user-approved” implicito su tutti gli enrollment, il meccanismo di escrow dei bootstrap token necessario per gli update senza privilegi admin, i vincoli sulle VM di test, e la distribuzione di Company Portal fuori App Store. Per un rollout aziendale solido, il percorso pratico resta: ADE per i dispositivi acquistati tramite Apple Business/School Manager (abbinato a macOS LAPS per la gestione dell’account locale admin), DEM per le grandi quantità preparate dall’IT, Direct Enrollment per i dispositivi condivisi, e BYOD ben documentato per chi porta il proprio Mac. Investire tempo in questi dettagli prima del rollout evita la maggior parte dei ticket di supporto che altrimenti emergono nelle prime settimane dopo il deployment.
Fonte: 4sysops — approfondimento tecnico basato sulla documentazione ufficiale Microsoft: Deployment guide: Manage macOS devices in Microsoft Intune e Set up enrollment for macOS devices in Intune.