Microsoft Intune è il servizio cloud di Microsoft per la gestione degli endpoint. Registra, configura, protegge e aggiorna i dispositivi aziendali e le app che ci girano, e decide quali utenti e quali dispositivi possono accedere alle risorse dell'azienda. Funziona interamente in cloud, senza server da installare, e gestisce Windows, macOS, iOS/iPadOS, Android e Linux (Ubuntu Desktop e Red Hat Enterprise Linux).
In questa guida trovi cosa gestisce Intune, come funziona passo per passo, cosa vede l’azienda su un telefono personale, che cosa fa Windows Autopilot e quali piani e licenze Microsoft 365 lo includono.
Cosa gestisce Microsoft Intune
Dispositivi
Registrazione, configurazione delle impostazioni, criteri di conformità (ad esempio versione minima del sistema operativo, cifratura, password) e cancellazione remota in caso di furto o smarrimento.
App
Distribuzione e aggiornamento delle app aziendali, comprese le app di Microsoft 365, e protezione dei dati dentro le app di lavoro.
Sicurezza degli endpoint
Criteri di sicurezza, aggiornamenti del sistema operativo e integrazione con Microsoft Defender.
Accesso alle risorse
Lo stato di conformità del dispositivo viene usato dall'Accesso condizionale di Microsoft Entra ID per consentire o bloccare l'accesso a posta, file e applicazioni.
Come funziona Microsoft Intune
Il funzionamento si riassume in quattro passaggi:
Configurazione in Intune
L'amministratore crea in Microsoft Intune admin center i criteri di configurazione e di conformità, sceglie le app da distribuire e li assegna a gruppi di utenti o di dispositivi.
Il dispositivo viene registrato
I PC aziendali entrano con Windows Autopilot o con la registrazione automatica; Mac, iPhone e iPad aziendali con la registrazione automatica dei dispositivi di Apple Business Manager; per Android esistono più modalità di registrazione dei dispositivi Android; i dispositivi personali si registrano dall'app Portale aziendale.
Il dispositivo riceve criteri e app e comunica il proprio stato
Intune lo valuta come conforme o non conforme.
Controllo dell'accesso
Quando l'utente accede a posta, file o applicazioni, l'Accesso condizionale di Microsoft Entra ID controlla lo stato di conformità e consente o blocca l'accesso.
Il ruolo di Microsoft Entra ID
Intune non conserva le identità e non autentica gli utenti: si appoggia a Microsoft Entra ID per l'accesso, per i gruppi a cui assegnare criteri e app e per l'Accesso condizionale. Per applicare davvero le regole di conformità, cioè bloccare l'accesso a chi non le rispetta, oltre a Intune serve Microsoft Entra ID P1 o P2.
Il Portale aziendale di Intune
Il Portale aziendale (Company Portal) è l’app di Intune che l’utente installa sul proprio dispositivo. Serve a tre cose: registrare il dispositivo, installare le app che l’azienda mette a disposizione e controllare se il dispositivo è conforme. È disponibile per Windows, macOS, iOS/iPadOS e Android e come sito web; su Linux al suo posto si usa l’app Microsoft Intune.
Quando un dispositivo risulta «non conforme», di solito manca un aggiornamento del sistema operativo, la cifratura del disco o un blocco schermo adeguato: il Portale aziendale indica quale requisito non è rispettato e come rimetterlo in regola.
Dispositivi aziendali e personali: MDM e MAM
Intune lavora in due modalità, anche insieme:
MDM (mobile device management)
Il dispositivo viene registrato e Intune ne gestisce impostazioni, sicurezza e app. È la modalità tipica per PC e smartphone aziendali.
MAM (mobile application management)
Intune protegge solo le app di lavoro e i dati al loro interno, senza gestire il resto del dispositivo. È la modalità tipica per gli smartphone personali (BYOD): quando il collaboratore lascia l'azienda si cancellano solo i dati aziendali.
Cosa vede l'azienda su un dispositivo personale
Su un dispositivo personale registrato in Intune l’azienda non vede:
Cronologia delle chiamate e della navigazione
Email e SMS
Contatti e calendario
Password
Foto
Contenuto dei documenti personali
Vede invece i dati che servono a gestirlo: proprietario, nome del dispositivo, numero di serie, modello e produttore, sistema operativo e versione, IMEI. Delle app vede di norma solo quelle gestite, cioè di lavoro, e del numero di telefono solo le ultime quattro cifre; la posizione di un dispositivo personale non è visibile. L’elenco completo è nella pagina Microsoft sui dati visibili all’organizzazione.
Con la sola protezione delle app (MAM) il telefono non viene registrato: l’azienda gestisce le app di lavoro e i dati al loro interno, il resto del dispositivo resta fuori dalla gestione.
Windows Autopilot: PC pronti senza creare immagini
Windows Autopilot prepara i nuovi PC Windows senza immagini da mantenere: l'utente accende il computer, si collega alla rete e inserisce le credenziali aziendali; il resto è automatico.
Il PC viene aggiunto a Microsoft Entra ID. Il join ibrido con Active Directory locale resta possibile, ma Microsoft lo sconsiglia per i dispositivi nuovi e lo considera una fase di transizione.
Si registra automaticamente in Intune e riceve criteri e app (la registrazione automatica richiede Microsoft Entra ID P1 o P2).
La prima configurazione di Windows mostra le schermate personalizzate dell'azienda.
Con Autopilot Reset un PC già in uso si prepara per un nuovo utente.
Autopilot si usa solo con dispositivi di proprietà dell'azienda e con le edizioni Pro, Enterprise ed Education di Windows 11 e Windows 10 in versione supportata. Windows 10 è fuori dal supporto generale dal 14 ottobre 2025: per i PC nuovi il riferimento è Windows 11.
Quali licenze includono Microsoft Intune
| Piano | Cosa comprende |
|---|---|
| Microsoft Intune Plan 1 | Il servizio base: gestione di dispositivi e app (MDM e MAM), criteri di conformità, sicurezza degli endpoint. |
| Microsoft Intune Plan 2 | Si aggiunge al Plan 1: Microsoft Tunnel per le app su dispositivi non registrati, gestione di dispositivi speciali come visori e schermi per sale riunioni, aggiornamenti firmware da remoto per i dispositivi supportati. |
| Microsoft Intune Suite | Si aggiunge al Plan 1 e comprende il Plan 2 più le funzioni avanzate: Remote Help, Advanced Analytics, Endpoint Privilege Management, Microsoft Cloud PKI, Enterprise Application Management. |
Licenze Microsoft 365 che includono Intune
La maggior parte delle aziende ottiene Intune dentro un piano Microsoft 365, non come prodotto separato:
Microsoft 365 Business Premium
Include Intune, Microsoft Defender for Business e Microsoft Entra ID P1. È il piano di riferimento per le PMI fino a 300 utenti: vedi cosa include Microsoft 365 Business Premium.
Microsoft 365 E3, E5 ed E7
Includono Intune. Da luglio 2026 E3 comprende anche Intune Plan 2, Remote Help e Advanced Analytics; E5 ed E7 aggiungono Endpoint Privilege Management, Microsoft Cloud PKI ed Enterprise Application Management. La novità riguarda i piani commerciali; per ora non cambiano i piani Education e Frontline, e Business Premium non è tra i piani interessati.
Enterprise Mobility + Security E3 o E5
Includono Intune ed Entra ID; le novità di luglio 2026 per E3 valgono anche per EMS E3.
Microsoft Intune Plan 1
Acquistato da solo, da abbinare a Entra ID P1 se servono Accesso condizionale e Autopilot.
I piani che non includono Intune, come Microsoft 365 Business Basic e Business Standard, possono usare Basic Mobility and Security, integrato in Microsoft 365 ma molto più limitato: gestisce iOS/iPadOS, Android e Windows ma non macOS e Linux, non protegge le app (MAM), non distribuisce app, non supporta Windows Autopilot né i profili Wi-Fi e VPN, e l’accesso condizionale è limitato a Exchange Online, SharePoint e Outlook e non vale per i PC Windows.
Intune o un'altra piattaforma: la regola che usiamo
Se l'azienda ha già Microsoft 365 Business Premium o un piano E3/E5, Intune è già pagato: in quel caso lo usiamo. Negli altri casi valutiamo con una consulenza se conviene aggiornare le licenze oppure adottare ManageEngine Endpoint Central, che non richiede licenze Microsoft 365 e include il patching delle applicazioni di terze parti.
Come ti aiuta Nexsys
Nexsys progetta e gestisce ambienti Intune per le aziende: registrazione dei dispositivi, Autopilot, criteri di conformità, protezione delle app e Accesso condizionale. Per formare il team IT interno c'è il corso Microsoft Intune. Per capire da dove partire, il Microsoft 365 Security Assessment verifica la configurazione di sicurezza del tenant. Se il dubbio è se serva davvero una gestione centralizzata, leggi i 10 segnali che i PC aziendali sono fuori controllo.
Domande frequenti su Microsoft Intune
Microsoft 365 Business Premium include Intune?
Sì. Business Premium include Intune, Microsoft Defender for Business e Microsoft Entra ID P1, quindi anche Accesso condizionale e Windows Autopilot.
Intune gestisce anche Mac e smartphone?
Sì. Oltre a Windows gestisce macOS, iOS/iPadOS, Android e Linux, sia come dispositivi aziendali sia, per le sole app di lavoro, come dispositivi personali.
Serve un server per usare Intune?
No. Intune è un servizio cloud e si amministra dall'interfaccia web Microsoft Intune admin center.
Windows Autopilot funziona senza Intune?
Autopilot richiede un servizio di gestione dei dispositivi (MDM), di norma Intune, e Microsoft Entra ID P1 o P2 per la registrazione automatica.
Cos'è il Portale aziendale di Intune?
È l'app che l'utente installa sul dispositivo per registrarlo in Intune, installare le app messe a disposizione dall'azienda e verificare se il dispositivo è conforme.
Cosa vede l'azienda sul telefono personale con Intune?
Non vede chiamate, cronologia di navigazione, email, SMS, contatti, calendario, password e foto. Vede i dati del dispositivo, come modello, numero di serie e versione del sistema operativo, e di norma le sole app di lavoro.
Che differenza c'è tra Intune Plan 1, Plan 2 e Intune Suite?
Plan 1 è il servizio base per gestire dispositivi e app. Plan 2 aggiunge funzioni come Microsoft Tunnel per le app su dispositivi non registrati. Intune Suite comprende il Plan 2 e le funzioni avanzate, tra cui Remote Help, Endpoint Privilege Management e Cloud PKI.
Fonti: documentazione Microsoft Learn su Microsoft Intune, licenze di Intune, guida alla pianificazione di Intune e requisiti di Windows Autopilot.