Risposta rapida
Windows 11 Administrator Protection cambia il modo in cui un amministratore locale ottiene privilegi elevati: non mantiene il contesto amministrativo nella sessione ordinaria, ma crea un token isolato solo dopo un'autorizzazione esplicita. È un miglioramento importante, ma non è una piattaforma aziendale per autorizzare le elevazioni degli utenti standard.
La distinzione conta soprattutto negli ambienti gestiti con Active Directory, Microsoft Entra ID e Intune: proteggere un amministratore locale e assegnare temporaneamente privilegi a un utente standard sono due problemi differenti. Il post ufficiale Microsoft Tech Community, pubblicato il 19 novembre 2024 e successivamente aggiornato, descrive il nuovo modello di sicurezza; la documentazione Microsoft Learn ne specifica requisiti, configurazione e limitazioni operative attuali.
Perché UAC tradizionale e Administrator Protection non sono equivalenti
Nel modello UAC tradizionale, un membro del gruppo Administrators esegue normalmente il desktop con privilegi limitati, ma il sistema mantiene disponibile un contesto amministrativo associato all'account. L'elevazione approvata permette a un processo di operare con il token ad alto privilegio. Il modello riduce gli errori involontari, ma la disponibilità dei privilegi rimane un elemento di rischio.
Administrator Protection modifica l'architettura: l'utente amministratore opera in contesto deprivilegiato e, quando autorizza un'operazione, Windows genera un token amministrativo isolato e temporaneo usando un account nascosto gestito dal sistema. Il token è eliminato alla terminazione del processo elevato. Non si tratta semplicemente di mostrare un prompt UAC più forte.
| Caratteristica | UAC tradizionale | Administrator Protection |
|---|---|---|
| Contesto amministrativo | Modello split-token dell'account amministratore | Token isolato creato al bisogno |
| Elevazione | Prompt in base alle policy UAC | Autorizzazione interattiva per le operazioni amministrative |
| Isolamento del profilo | Profilo ordinario dell'utente | Account e profilo amministrativi separati |
| Durata del token elevato | Legata al processo e al modello di autenticazione UAC | Token JIT eliminato al termine del processo |
| Utenti standard | Richiedono credenziali di un amministratore | Non ricevono un workflow EPM per deleghe e approvazioni aziendali |
I quattro pilastri dell'architettura Microsoft
1. Elevazione Just-in-Time (JIT)
I diritti amministrativi vengono concessi soltanto quando necessari per un processo autorizzato. Il token elevato non rimane persistente e viene ricreato per una successiva attività che richieda elevazione.
2. Account nascosto e profilo separato
Windows utilizza un account generato dal sistema, con profilo distinto dalla sessione ordinaria. Questa separazione contribuisce a impedire che un processo non privilegiato possa manipolare direttamente il contesto elevato. Ha però implicazioni sulle applicazioni che dipendono da impostazioni HKCU, certificati utente, credenziali SSO o file presenti nel profilo standard.
3. Nessuna auto-elevazione silenziosa
Le operazioni amministrative richiedono un'interazione esplicita secondo la policy configurata. La funzionalità non è un sistema di approvazione automatica delle installazioni aziendali.
4. Integrazione con Windows Hello
L'autorizzazione si integra con Windows Hello. Il comportamento del prompt, inclusa la scelta tra consenso e richiesta di credenziali quando previsto dalle policy, deve essere impostato e verificato sui dispositivi target. È improprio considerarlo un meccanismo universale di MFA per qualunque utente o qualunque applicazione.
Disponibilità su Windows 11 e novità delle security baseline 2026
Secondo Microsoft Learn, Administrator Protection è disponibile sui dispositivi Windows 11 supportati con gli aggiornamenti previsti, tra cui KB5120998, per le edizioni Home, Pro, Enterprise ed Education. In generale la funzionalità è disattivata per impostazione predefinita e può essere abilitata mediante policy.
Attenzione alle baseline di ottobre 2026: Microsoft indica che, nelle organizzazioni che adottano le nuove Windows security baseline, Administrator Protection viene abilitato come impostazione predefinita con l'aggiornamento di sicurezza di ottobre 2026. Le baseline interessate comprendono Windows 11 24H2, 25H2 e 26H2. Prima di applicarle, va verificata la configurazione effettiva dei dispositivi e l'impatto sulle applicazioni.
Non sono attualmente inclusi nel perimetro supportato Windows Server, Windows 365 Cloud PC e gli host di sessione Azure Virtual Desktop. Microsoft elenca inoltre scenari nei quali sconsiglia l'abilitazione senza una validazione specifica.
Come configurare Administrator Protection tramite Microsoft Intune
Per distribuire la funzionalità in ambiente aziendale, il punto di partenza è una policy di configurazione per un gruppo pilota di device Windows 11 supportati.
- Aprire Microsoft Intune admin center e creare un profilo Windows 10 and later di tipo Settings catalog.
- Nel catalogo cercare Local Policies Security Options.
- Configurare User Account Control Type Of Admin Approval Mode su Admin Approval Mode with Administrator protection.
- Configurare User Account Control Behavior Of the Elevation Prompt for Administrator Protection secondo il livello di autorizzazione richiesto.
- Assegnare la policy al gruppo pilota, sincronizzare i dispositivi e riavviarli.
- Verificare sia le elevazioni riuscite sia i workflow applicativi che coinvolgono profili, certificati, credenziali e applicazioni di amministrazione.
La configurazione è disponibile anche tramite Group Policy e LocalPoliciesSecurityOptions CSP. Il percorso GPO indicato da Microsoft è Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options.
Eventi di monitoraggio: 15031 e 15032
Microsoft documenta due eventi ETW del provider Microsoft-Windows-LUA (GUID 93c05d69-51a3-485e-877f-1806a8731346): 15031 (Elevation Approved) e 15032 (Elevation Denied/Fail). Possono riportare SID, applicazione, risultato e metodo di autenticazione. La relativa traccia deve essere raccolta e analizzata: non va presunta la presenza automatica di un audit centralizzato paragonabile a quello di una piattaforma EPM.
Le limitazioni operative da verificare prima del rollout
La documentazione Microsoft segnala compatibilità e scenari da gestire esplicitamente. Tra quelli più rilevanti per un'infrastruttura aziendale:
Windows LAPS e Hyper-V
Microsoft li include nell'elenco di scenari per i quali non abilitare la funzionalità senza verifica specifica.
Applicazioni dipendenti dal profilo
Dati utente, configurazioni, certificati e credenziali della sessione ordinaria potrebbero non essere disponibili nel profilo elevato.
SSO e risorse di rete
Una sessione elevata può richiedere una nuova autenticazione; unità di rete e file remoti potrebbero non risultare accessibili.
Developer workstation
Tool come WSL o Visual Studio possono richiedere configurazioni separate nel profilo elevato, per alcune attività.
RDP e amministrazione remota
La gestione dei privilegi remoti dipende da policy dedicate; Microsoft documenta anche un problema relativo ai logon RDP non amministrativi dopo KB5124010 su dispositivi interessati.
Windows 365 e Azure Virtual Desktop
Gli ambienti citati non rientrano oggi nel supporto della funzionalità.
Non si tratta di motivi per escludere Administrator Protection, ma di verifiche che richiedono una fase pilota reale, anche quando la baseline Microsoft suggerisce l'attivazione.
Hai dispositivi Windows 11 gestiti da Intune?
Nexsys può verificare configurazioni UAC, gruppi Administrators, compatibilità applicativa e rischi prima di estendere Administrator Protection.
Richiedi un assessment dei privilegi localiIl limite strutturale: Administrator Protection non gestisce gli utenti standard
L'elemento spesso trascurato è la titolarità del diritto amministrativo. Administrator Protection protegge chi è già amministratore locale; non costruisce un processo di concessione dei privilegi ad utenti standard che devono, per esempio, installare un software approvato.
La distinzione è riconosciuta dalla stessa Microsoft. In una risposta al post Tech Community, il team chiarisce che la funzionalità protegge gli utenti amministratori e rimanda alle soluzioni Endpoint Privilege Management (EPM) per la gestione degli utenti standard.
Esempio: in un'azienda con 250 PC, un operatore standard deve installare un'applicazione di reparto. Administrator Protection non gli fornisce autonomamente la possibilità di chiedere un'elevazione, ottenere l'approvazione del reparto IT e registrare l'eccezione in una console centrale. Questo è il perimetro di una piattaforma EPM.
Admin By Request: elevazioni controllate senza admin locale permanente
Admin By Request è una soluzione di Endpoint Privilege Management che permette di mantenere gli utenti in gruppi standard e autorizzare temporaneamente operazioni privilegiate secondo policy aziendali.
Elevazione della singola applicazione
Con Run As Admin il processo viene elevato quando autorizzato, senza trasformare permanentemente l'utente in amministratore locale. L'approvazione può dipendere da regole predefinite o dalla valutazione dell'IT.
Sessioni amministrative limitate nel tempo
Con Admin Session l'organizzazione può autorizzare sessioni amministrative temporanee, con registrazione delle attività previste dal prodotto e revoca al termine del tempo concesso.
Policy, MFA, verifica delle applicazioni e audit
La piattaforma integra preapprovazioni, blacklist, workflow di approvazione, controlli MFA/SSO, scansioni malware e log centralizzati. Le funzionalità dipendono dalle policy, dalle integrazioni e dalla piattaforma client; non sostituiscono un EDR o un SIEM.
Administrator Protection vs Admin By Request: confronto operativo
| Esigenza IT | Administrator Protection | Admin By Request EPM |
|---|---|---|
| Isolare il token di un admin Windows 11 | Sì, funzionalità nativa | Modello di elevazione distinto; non replica questa architettura Microsoft |
| Elevare un utente standard su richiesta | No, senza un meccanismo aggiuntivo | Sì, tramite workflow EPM |
| Autorizzare automaticamente applicazioni note | Non è il suo scopo | Sì, tramite policy e preapprovazioni |
| Approvazione centralizzata del reparto IT | No, non come workflow EPM | Sì |
| Audit centralizzato delle richieste | Eventi ETW da raccogliere | Portale e log EPM dedicati |
| macOS e Linux | No | Sì, con funzionalità per piattaforma |
| Windows Server | Non supportato attualmente | Disponibilità da verificare in base all'edizione e al supporto vendor |
Non è una scelta obbligatoria tra due prodotti identici: Administrator Protection è un controllo nativo di isolamento delle elevazioni; Admin By Request è una piattaforma per governare la richiesta, l'autorizzazione e la rendicontazione dei privilegi sugli endpoint.
Si possono usare insieme?
Un'organizzazione può avere entrambe le esigenze: proteggere gli account amministrativi Windows e gestire le elevazioni degli utenti standard. Questo non implica che Administrator Protection e Admin By Request siano automaticamente compatibili e utilizzabili contemporaneamente sullo stesso dispositivo.
Entrambe le tecnologie intervengono sul flusso di elevazione. Occorre verificare il comportamento sulle versioni Windows e dell'agente EPM effettivamente distribuite, con particolare attenzione a credential prompt, UAC, sessioni elevate, profili separati, LAPS, troubleshooting remoto e applicazioni legacy. L'architettura finale va decisa dopo test controllati.
Il percorso Nexsys per ridurre gli admin locali
- Assessment: inventario degli amministratori locali, delle applicazioni che richiedono elevazione e dei gruppi di dispositivi.
- Scelta del modello: identificazione delle esigenze coperte dal controllo Windows e di quelle che richiedono un workflow EPM.
- Pilota tecnico: test di Intune/GPO, agent EPM, compatibilità delle applicazioni e procedure di emergenza.
- Rollout graduale: rimozione dei privilegi permanenti dagli utenti, definizione delle autorizzazioni e formazione dell'help desk.
- Audit e revisione: analisi delle richieste, delle eccezioni e della copertura effettiva delle policy.
Il percorso si collega ai servizi Nexsys di Endpoint Management, Endpoint Protection e Identity Security. Per approfondire il prodotto EPM è prevista una pagina Nexsys dedicata ad Admin By Request.
Domande frequenti
Administrator Protection funziona per un utente standard?
Non fornisce un workflow aziendale per concedere privilegi agli utenti standard. Serve principalmente a proteggere l'elevazione di account che dispongono già del diritto amministrativo.
Administrator Protection sostituisce Microsoft Intune EPM o Admin By Request?
No. Le piattaforme EPM gestiscono richieste, autorizzazioni, preapprovazioni e audit delle elevazioni da parte di utenti standard. Administrator Protection protegge il modello di elevazione nativo degli amministratori Windows 11.
Quali sono i requisiti per attivare Administrator Protection?
Occorrono Windows 11 e aggiornamenti supportati. L'attivazione avviene via policy o impostazioni disponibili e richiede un riavvio. Vanno inoltre validati autenticazione, versione Windows e compatibilità delle applicazioni.
Administrator Protection è compatibile con LAPS e Hyper-V?
Microsoft include i dispositivi gestiti con Windows LAPS e quelli che richiedono Hyper-V tra gli scenari per cui segnala di non abilitare la funzionalità. Prima di qualsiasi adozione occorre fare riferimento alla documentazione aggiornata e ai test dell'ambiente.
Admin By Request sostituisce EDR e antivirus?
No. EPM controlla le elevazioni amministrative; EDR e antivirus prevengono, rilevano o rispondono alle minacce. Le due categorie possono concorrere alla protezione dell'endpoint.
Vuoi eliminare gli amministratori locali permanenti senza bloccare le installazioni autorizzate?
Nexsys supporta assessment, definizione delle policy e valutazione di un modello EPM basato su Admin By Request.
Parla con Nexsys di Endpoint Privilege Management