⚠️ Important!

The editorial offering of ITSpecialist.News has expanded with a new English-language section that collects a selection of my main content.

Since these are largely the same articles translated, you might not want to receive them twice, especially if you prefer reading in a specific language.

Iscriviti ora

If you want to choose which language to receive content in:

→ Go to itspecialistnews.substack.com/account
→ Open the “Notifications” section
→ If you’re an English reader, enable only “ITSpecialist.News – Same Content, in English” and disable other options
→ If you're an Italian reader, keep only "ITSpecialist.News | Riccardo Corna" enabled

Prerequisites and Licensing

Before diving into the console, let’s align on what’s needed.

The requirements are fairly straightforward:

• Microsoft Intune Plan 1 – Plan 2 is not required for MAA.

• Intune managed devices.

• Involved users must have appropriate permissions in the Intune portal (we’ll see this shortly).

For all technical details, I refer you to the official Microsoft documentation attached at the end of the article.

The Three Actors Involved

Before starting the configuration, it’s important to understand a fundamental concept: in an MAA scenario, three distinct actors come into play:

1. The admin who creates and manages MAA policies: decides which operations should be subject to approval and who has the right to approve them.

2. The admin approver: is the “second pair of eyes” who receives requests and approves or rejects them.

3. The change requestor: is the operator (typically a Help Desk operator) who wants to perform a protected operation and must make an explicit approval request.

These three roles interact in sequence. In the tutorial we’ll see them all in action.

Ready? Let’s go!

Creating the Approver Group on Microsoft Entra

The first thing to do is create a security group on Microsoft Entra ID that will contain administrators with the approver role. MAA relies on Entra groups to know who can approve what, so this is the mandatory starting point.

Go to the Microsoft Entra ID portal, create a new security group (I called it something sensible like “Intune MAA Approvers”) and add the administrator who will act as approver as a member.

Nothing complicated so far. But before moving on to the MAA policy, there's a step that may seem strange but is absolutely fundamental.

Assigning an Intune RBAC Role to the Group

The newly created Entra group must be assigned to an Intune RBAC role.

Permessi necessari per approvare/rifiutare le richieste

The approver must:

• Have Read permissions on all types of objects/configurations/policies they need to approve.

• Be able to approve policies with the RBAC permission Approval for Multi Admin Approval, which can be found under the Multi Admin Approval section in the list of RBAC role permissions.

So, in simple terms, you have two options:

• If your approver is an Intune Administrator, you do not need to create a specific RBAC role. You can assign your approver group to any RBAC role, even Read Only Operator. This is what I did because, frankly, since it is a lab I do not have enough licenses to cover all the users involved. I chose this path for simplicity and to show you that assigning the RBAC role is essential.

• If your approver is NOT an Intune Administrator, then you must assign the approver group to a dedicated RBAC role with Read permissions for everything that needs to be approved, plus the Approval for Multi Admin Approval permission. For example, you could clone the Read Only Operator role and add the specific Approval for Multi Admin Approval permission.

All clear? I hope so. Now, let’s assign the role to the approver group!

Why is it necessary? Because if the group has no role assigned in Intune, the system does not consider it relevant and, be careful, the group membership is automatically cleaned up. The approvers disappear, your configuration stops working, and you don’t immediately notice.

Ok, now we can finally create the policy.

Creating the Multi Admin Approval Policy

Here we are at the heart of the configuration.

Go to Intune > Tenant Administration > Multi Admin Approval and create a new Access Policy.

Here you define which operation should be protected by approval. In our example, we’re protecting device wipe, one of the most impactful operations that exist in Intune, perfect for demonstrating MAA in action.

Set the operation type, select the approver group created in the previous step, and save.

⚠️ Be careful though: the policy is not yet active. And here comes the first of the “non-obvious” steps of MAA, which often surprises those configuring it for the first time.

Permissions required to create and manage Access Policies

There’s another thing to keep in mind: the account that creates and manages the MAA policies must have the correct permissions. Here you have two options.

The first one is to use the Intune Administrator role (also known as Intune Service Administrator in Microsoft Entra): it has full read and write access to Intune, so it can do everything.

In the video, I use this approach for simplicity and, frankly, because I don’t have enough licenses to test everything with different people and admins. 😆

However, be careful: Microsoft itself recommends not using it for the regular management of access policies, precisely because it is a broadly privileged role.

The second option, which is recommended for production environments, is to create a custom RBAC role in Intune with the specific permissions for MAA.

The principle of least privilege, as always, is your best friend.

The Approver Approves the Policy Creation

Exactly: even the creation of the MAA policy itself requires approval.

The admin approver accesses the Intune portal and goes to the Admin Tasks section, where they find the pending request.

The approver verifies the request, optionally adds a note, and approves. The status changes to Approved.

But it’s not finished yet! One last very important step remains.

The First Admin Completes the Request

A request in Approved status is not an executed request. The admin who created it must return to Admin Tasks and explicitly complete it.

Only when the status becomes Completed is the policy actually active.

This behavior always applies, for any operation protected by MAA: approval is not enough, you also need to complete the cycle.

We also see this in the wipe example below.

Hazel requests a wipe

Enter Hazel, our Help Desk operator. Hazel has the Help Desk Operator RBAC role in Intune. She needs to reassign a PC and, as a first step, needs to wipe the device.

Hazel accesses the Intune portal, finds the device, and clicks Wipe.

Nothing starts. The portal shows a message stating that the operation requires approval. Hazel has done her part: the request is in the queue.

The device is not touched until someone approves.

The Approver Approves the Wipe

The approver receives the notification, accesses the Intune portal, and goes to Admin Tasks, where they find Hazel's pending request.

The approver verifies the device, adds a note if necessary, and approves. The request changes to Approved.

Now Hazel can do her final part.

Hazel completes the wipe

As mentioned before: Approved doesn't mean executed. Hazel returns to Admin Tasks, finds her approved request, and completes it.

Only with Completed status is the wipe actually initiated on the device.

Verification on the client

And now the part everyone likes: let's go see what happens on the device.

The device has received the command and is performing the reset.

The complete flow worked exactly as expected, from start to finish.

Official Documentation

As always, you’ll find all the official Microsoft documentation attached below.

📎 Use multi admin approval in Intune — Microsoft Learn

Conclusions

The wipe we saw today is just one of the scenarios where you can apply Multi Admin Approval. MAA also supports the deployment of scripts, role assignment, and other sensitive operations in endpoint management, and Microsoft continues to expand the supported categories.

It’s a tool worth seriously evaluating whenever you have high-impact operations in your environment.

Thanks for reading all the way through. If the content was useful to you, subscribe to ITSpecialist.News to receive every new article directly in your inbox.

Iscriviti ora

See you soon..

YOU LEGENDS!

⚠️ Importante!

L’offerta editoriale di ITSpecialist.News si è arricchita con una nuova sezione in lingua inglese, che raccoglie una selezione dei miei contenuti principali.

Poiché si tratta in gran parte degli stessi articoli tradotti, potresti non volerli ricevere due volte, soprattutto se preferisci leggere in una lingua specifica.

Iscriviti ora

Se vuoi scegliere in quale lingua ricevere i contenuti:

→ Vai su itspecialistnews.substack.com/account
→ Apri la sezione “Notifiche”
→ Se sei un lettore in inglese, attiva solo “ITSpecialist.News – Same Content, in English” e disattiva le altre opzioni.
→ Se sei un lettore in italiano, mantieni attiva solo “ITSpecialist.News | Riccardo Corna”.

Prerequisiti e licensing

Prima di mettere mano alla console, allineiamoci su quello che serve.

I requisiti sono abbastanza lineari:

• Microsoft Intune Plan 1, non serve il Plan 2 per MAA.

• Dispositivi gestiti da Intune.

• Gli utenti coinvolti devono avere i permessi appropriati nel portale Intune (lo vedremo tra poco).

Per tutti i dettagli tecnici ti rimando alla documentazione ufficiale Microsoft, allegata in fondo all’articolo.

I tre attori coinvolti

Prima di iniziare la configurazione, è importante avere chiaro un concetto fondamentale: in uno scenario MAA entrano in gioco tre attori distinti.

1. L’admin che crea e gestisce le policy MAA: decide quali operazioni devono essere soggette ad approvazione e chi ha il diritto di approvarle.

2. L’admin approver: è il “secondo paio di occhi”. Riceve le richieste, le approva o rifiuta.

3. Il change requestor: è l’operatore (tipicamente un Help Desk operator) che vuole eseguire un’operazione protetta e deve fare una richiesta esplicita di approvazione.

Questi tre ruoli interagiscono in sequenza. Nel tutorial li vedremo tutti in azione.

Pronti? Partiamo!

Creazione del gruppo Approver su Microsoft Entra

La prima cosa da fare è creare un gruppo security su Microsoft Entra ID che raccoglierà gli amministratori con ruolo di approver. MAA si basa su gruppi Entra per sapere chi può approvare cosa, quindi questo è il punto di partenza obbligato.

Vai sul portale di Microsoft Entra ID, crea un nuovo gruppo di sicurezza (io l’ho chiamato qualcosa di sensato tipo Intune MAA Approvers) e aggiungi come membro l’amministratore che farà da approver.

Niente di complicato fin qui. Però prima di passare alla policy MAA, c’è un passaggio che può sembrare strano ma è assolutamente fondamentale.

Assegnazione di un ruolo RBAC Intune al gruppo

Il gruppo di Entra appena creato deve essere assegnato a un ruolo RBAC di Intune.

Permessi necessari per approvare/rifiutare le richieste

L’approver deve:

• avere i permessi di lettura (Read) su tutte le tipologie di oggetti / configurazioni / policy che deve approvare

• Poter approvare le policy, con il permesso RBAC Approval for Multi Admin Approval che trovi all’interno della sezione Multi Admin Approval nell’elenco dei permessi del ruolo RBAC.

Quindi, tradotto in soldoni, hai due opzioni:

• Se il tuo approver è Intune Administrator, non hai bisogno di creare un ruolo RBAC specifico e, quindi, potrai associare il tuo gruppo di approver ad un ruolo RBAC qualunque, anche il Read Only Operator. È quello che ho fatto io perché, banalmente, essendo un lab, non ho così tante licenze che coprano tutti gli utenti del caso. Ho scelto questa strada per semplicità e per farti capire che l’assegnazione del ruolo RBAC è fondamentale.

• Se il tuo approver NON è Intune Administrator, allora dovrai associare il gruppo degli approver ad un ruolo RBAC ad-hoc con i permessi di Read per tutto quello che serve approvare più il permesso Approval for Multi Admin Approval.
  Ad esempio, potresti clonare il ruolo Read Only Operator e aggiungerci il permesso specifico Approval for Multi Admin Approval.

Tutto chiaro? Spero di sì. Ora assegnamo il ruolo al gruppo degli approver!

Perché è necessario? Perché se il gruppo non ha nessun ruolo assegnato in Intune, il sistema non lo considera rilevante e, attenzione, la membership del gruppo viene ripulita automaticamente. Gli approver spariscono, la tua configurazione smette di funzionare e non te ne accorgi subito.

Ok, ora possiamo finalmente creare la policy.

Creazione della policy di Multi Admin Approval

Eccoci al cuore della configurazione.

Vai su Intune > Tenant Administration > Multi Admin Approval e crea una nuova Access Policy.

Qui definisci quale operazione deve essere protetta da approvazione. Nel nostro esempio proteggiamo il wipe dei dispositivi, una delle operazioni più impattanti che esistano in Intune, perfetta per dimostrare MAA in azione.

Imposta il tipo di operazione, seleziona il gruppo approver creato al passo precedente, e salva.

⚠️ Attenzione però: la policy non è ancora attiva. E qui arriva il primo dei passaggi “non ovvi” di MAA, che sorprende spesso chi la configura per la prima volta.

Permessi necessari per creare e gestire le Access Policy

C’è una da tenere a mente: l’account che crea e gestisce le policy di MAA deve avere i permessi giusti. Qui hai due strade.

La prima opzione è usare il ruolo Intune Administrator (noto anche come Intune Service Administrator su Microsoft Entra): ha accesso completo in lettura e scrittura su Intune, quindi può fare tutto.

Nel video uso questo approccio per semplicità e, banalmente, perché non ho abbastanza licenze per provare il tutto con persone e admin diversi. 😆

Attenzione però: Microsoft stessa consiglia di non usarlo per la gestione ordinaria delle access policy, proprio perché è un ruolo privilegiato ad ampio raggio.

La seconda opzione, quella consigliata per ambienti di produzione, è creare un ruolo RBAC custom in Intune con i permessi specifici per MAA.

Il principio di least privilege, come sempre, è il tuo migliore amico.

L’approver approva la creazione della policy

Esatto: anche la creazione della policy MAA stessa richiede approvazione.

L’admin approver accede al portale Intune e va nella sezione Admin Tasks, dove trova la richiesta in attesa.

L’approver verifica la richiesta, aggiunge eventualmente una nota, e approva. Lo stato passa ad Approved.

Ma non è ancora finita! Manca un ultimo passaggio importantissimo.

Il primo admin completa la richiesta

Una richiesta in stato Approved non è una richiesta eseguita. L’admin che l’ha creata deve tornare su Admin Tasks e completarla esplicitamente.

Solo quando lo stato diventa Completed la policy è effettivamente attiva.

Questo comportamento vale sempre, per qualsiasi operazione protetta da MAA: non basta l’approvazione, bisogna anche completare il giro.

Lo vediamo anche nell’esempio del wipe qui sotto.

Hazel fa richiesta di wipe

Entra in scena Hazel, la nostra operatrice di Help Desk. Hazel ha il ruolo RBAC Help Desk Operator in Intune. Deve riassegnare un PC e, come prima cosa, ha bisogno di fare il wipe del dispositivo.

Hazel accede al portale Intune, trova il dispositivo, e clicca su Wipe.

Non parte nulla. Il portale mostra un messaggio che comunica che l’operazione richiede approvazione. Hazel ha fatto la sua parte: la richiesta è in coda.

Il dispositivo non viene toccato finché qualcuno non approva.

L’approver approva il wipe

L’approver riceve la notifica, accede al portale Intune e va in Admin Tasks, dove trova la richiesta di Hazel in attesa.

L’approver verifica il dispositivo, aggiunge una nota se necessario, e approva. La richiesta passa ad Approved.

Ora Hazel può fare la sua parte finale.

Hazel completa il wipe

Come detto prima: Approved non vuol dire eseguito. Hazel torna su Admin Tasks, trova la sua richiesta approvata e la completa.

Solo con lo stato Completed il wipe viene effettivamente avviato sul dispositivo.

Verifica sul client

E ora la parte che piace a tutti: andiamo a vedere cosa succede sul dispositivo.

Il dispositivo ha ricevuto il comando e sta eseguendo il reset.

Il flusso completo ha funzionato esattamente come previsto, dall’inizio alla fine.

📚 Documentazione ufficiale

Come sempre, trovi tutta la documentazione ufficiale Microsoft allegata qui sotto.

📎 Use multi admin approval in Intune — Microsoft Learn

🏁 Conclusioni

Il wipe che abbiamo visto oggi è solo uno degli scenari in cui puoi applicare Multi Admin Approval. MAA supporta anche la distribuzione di script, l’assegnazione di ruoli e altre operazioni sensibili nella gestione degli endpoint, e Microsoft sta continuando ad espandere le categorie supportate.

È uno strumento che vale la pena valutare seriamente ogni volta che hai operazioni ad alto impatto nel tuo ambiente.

Grazie per aver letto fino in fondo. Se il contenuto ti è stato utile, iscriviti a ITSpecialist.News per ricevere ogni nuovo articolo direttamente in inbox.

Iscriviti ora

A presto…

MITICI!

Sorry about that.

To make it up to you, however, I’m working on a SUPER tutorial on Intune Multi Admin Approval, which will be released in the coming weeks.

What events are left between now and summer? You’ll find out in the dedicated section. 😜

Let’s get back to our usual newsletter schedule. Happy reading!

⚠️ Important!

The editorial offering of ITSpecialist.News has expanded with a new section in English, featuring a selection of my main content.

Since these are largely the same articles translated, you might not want to receive them twice, especially if you prefer reading in a specific language.

If you want to choose which language to receive the content in:

→ Go to itspecialistnews.substack.com/account

→ Open the “Notifications” section

→ If you are an English reader, activate only “ITSpecialist.News – Same Content, in English” and deactivate the other options.

→ If you are an Italian reader, keep only “ITSpecialist.News | Riccardo Corna” active.

📌 In this issue

FAQ… but with style: “During deployment with Windows Autopilot, can I distribute Win32 apps and line-of-business (LOB) apps together?”

Microsoft News Radar: the latest news directly from Microsoft sources.

Community Picks: the most interesting content created by the community this month.

Events: BeConnected Day, AperiTeams!

On a personal note: already feeling the summer vibes, even if it’s too early.

❓ FAQ… but with style

Question

“During deployment with Windows Autopilot, can I distribute Win32 apps and line-of-business (LOB) apps together?”

Answer

It depends on how you are provisioning the device.

• With the “classic” Autopilot deployment, Microsoft discourages mixing Win32 and LOB apps in the same enrollment phase. Both types of apps use the Trusted Installer service, and if they run in parallel, they can interfere with each other and cause some installations to fail, especially in the case of installers composed of multiple files. In this scenario, it’s better to stick to Win32 apps only.

• With the new Windows Autopilot Device Preparation, however, this limitation does not exist: you could potentially combine Win32 and LOB apps without significant risk of conflicts.

My operational advice: to avoid any headaches, standardize the app distribution as much as possible, trying to use only Win32 apps, especially now that it is possible to use a PowerShell script (separate from the .intunewin package) to handle the installation.

📎 Win32 app management in Microsoft Intune

📎 Add, Assign, and Monitor a Win32 App in Microsoft Intune

🛰️ Microsoft Radar

A selection of content directly from Microsoft sources.

• Microsoft Intune

  • Migrating frontline mobile devices: Aligning stakeholders before real-world testing

  • Speed where it matters: How Microsoft Intune helps IT prioritize time-sensitive actions

  • Unpacking Endpoint Management is back - and we’ve got a lot to talk about

• Surface IT Pro

  • Designed for Surface Accessories for Frontline Work

• Microsoft Defender for Endpoint

  • Assess Secure Boot status with Microsoft Defender

• Microsoft Entra

  • Tenant Configuration Management APIs are now generally available

  • Now generally available: License usage insights in Microsoft Entra

  • Lock down AI, web, and private apps: what’s new in Internet Access and Private Access

🌐 Community Picks

The most useful contents from the community that I have come across in these weeks.

• 🔗 How to Manage RC4 Hardening – Definitive Guide
  👤 Giulia Spinetti
  RC4 is obsolete, Kerberos is coming, and your AD environment could break without warning. Three phases, registry keys, events to monitor, and ready-to-use scripts: everything you need to migrate to AES without surprises.

• 🔗 ABM, ABE, and Business Connect Are Gone — Welcome to Apple Business
  👤 Somesh Pathak
  Three Apple portals become one. If you manage Apple devices in your company, this is the time to understand what changes in your workflow and what to update before something stops working..

• 🔗 To sysprep or not to sysprep, why are we still having this conversation?
  👤 Michael Niehaus
  Sysprep: a debate that seemed dead and buried, but in 2026 it’s making noise again. Duplicate SIDs, long ignored by many, are now officially a security problem, with a concrete deadline: the end of 2027..

🎭 Events and Call for Speaker

Community and Microsoft events, along with the main open Calls for Speakers.

• 💻 BeConnected Day
  📅 11 June 2026 - 🌍 In person
  The largest community conference in Italy on Microsoft 365, Copilot, Security and Power Platform, Modern Work and Security is waiting for you, free of charge. MVP speakers and Microsoft architects, hands-on sessions, networking with top industry professionals: a day worth as much as a paid course.

• AperiTeams Conference 2026
  📅 24 June 2026 - 💻 Online and 🌍 In person
  Free one-day conference at the Microsoft House in Milan dedicated to IT professionals on infrastructure, hybrid cloud, modern workplace, cybersecurity, and artificial intelligence, featuring technical sessions, demos, and networking, organized by Inside Technologies.

Disclaimer

The events I mention in “Have You Tried Restarting?” do not represent a complete list: I share those I personally come across and consider useful to the community. If an event is missing, it simply escaped my attention or I was not aware of it: if you would like to report your event to me, write to me. The publication is for informational purposes only and does not imply endorsement, approval, sponsorship, or partnership, unless explicitly stated otherwise.

🎧 On a personal note

Outside the IT world, here’s what has been inspiring me lately.

📖 What I’m reading (books, newsletters)

• Dentro i social in Cina

• 67 negozi nel mondo. 7 in Sicilia. Indovina chi vince.

• Esclusiva: il piano di Substack per l’Italia

🎵 What I'm Listening To (Musical Obsessions of the Month)

• Angine De Poitrine Vol. II / Angine De Poitrine

• Y’est où Grand-Papa? / Au Parc / LeParc

• Crooked Mile / Mercy / Planes Mistaken for Stars

✍️ Scattered Thoughts

As every year, the month of May arrives and my mind starts torturing me with that summery feeling of “letting go,” as if we were close to the holidays. Too bad there are still 3 months to go. Every year the same story, I’ll never get used to it, I just have to hang in there.

Talk to you soon!

Riccardo

Some of the links on this site lead to products or books sold by third parties. If you decide to purchase through these links, I may receive a commission as an affiliate, at no additional cost to you. This supports the work I do and allows me to continue providing quality content.

Scusami.

Per farmi perdonare, però, ne sto preparando uno SUPER su Intune Multi Admin Approval, che arriverà nelle prossime settimane.

Che eventi rimangono da qui all’estate? Lo scoprirai nell’apposita sezione. 😜

Dai che si ricomincia con la solita cadenza di newsletter. Buona lettura!

⚠️ Importante!

L’offerta editoriale di ITSpecialist.News si è arricchita con una nuova sezione in lingua inglese, che raccoglie una selezione dei miei contenuti principali.

Poiché si tratta in gran parte degli stessi articoli tradotti, potresti non volerli ricevere due volte, soprattutto se preferisci leggere in una lingua specifica.

Se vuoi scegliere in quale lingua ricevere i contenuti:
→ Vai su itspecialistnews.substack.com/account
→ Apri la sezione “Notifiche”
→ Se vuoi leggere in lingua Inglese, attiva solo “ITSpecialist.News – Same Content, in English” e disattiva le altre opzioni.
→ Se vuoi leggere in lingua Italiana, mantieni attiva solo “ITSpecialist.News | Riccardo Corna”.

📌 In questo numero

• FAQ… ma con stile: “Durante il deployment con Windows Autopilot posso distribuire insieme app Win32 e app line-of-business (LOB)?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: BeConnected Day, AperiTeams!

• On a personal note: sensazioni già estive, anche se troppo presto.

❓ FAQ… ma con stile

Domanda

“Durante il deployment con Windows Autopilot posso distribuire insieme app Win32 e app line-of-business (LOB)?”

Risposta

Dipende da come stai facendo il provisioning del device.

• Con il deployment Autopilot “classico”, Microsoft sconsiglia di mescolare app Win32 e LOB nella stessa fase di enrollment. Entrambi i tipi di app usano il servizio Trusted Installer e, se partono in parallelo, possono pestarsi i piedi a vicenda e far fallire alcune installazioni, soprattutto nel caso di installer composti da più file. In questo scenario conviene stare solo su app Win32.

• Con il nuovo Windows Autopilot Device Preparation, invece, questo limite non c’è: potenzialmente potresti combinare app Win32 e LOB senza particolari rischi di conflitti.

Il mio consiglio operativo: per evitare qualunque tipo di mal di testa, standardizza il più possibile la distribuzione delle app, cercando di usare solo Win32, soprattutto ora che è possibile usare uno script PowerShell (separato dal pacchetto .intunewin) per pilotare l’installazione.

📎 Win32 app management in Microsoft Intune

📎 Add, Assign, and Monitor a Win32 App in Microsoft Intune

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • Migrating frontline mobile devices: Aligning stakeholders before real-world testing

  • Speed where it matters: How Microsoft Intune helps IT prioritize time-sensitive actions

  • Unpacking Endpoint Management is back - and we’ve got a lot to talk about

• Surface IT Pro

  • Designed for Surface Accessories for Frontline Work

• Microsoft Defender for Endpoint

  • Assess Secure Boot status with Microsoft Defender

• Microsoft Entra

  • Tenant Configuration Management APIs are now generally available

  • Now generally available: License usage insights in Microsoft Entra

  • Lock down AI, web, and private apps: what’s new in Internet Access and Private Access

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 How to Manage RC4 Hardening – Definitive Guide
  👤 Giulia Spinetti
  RC4 è obsoleto, Kerberos sta arrivando e il tuo ambiente AD potrebbe rompersi senza preavviso. Tre fasi, chiavi di registro, eventi da monitorare e script pronti all’uso: tutto quello che ti serve per migrare ad AES senza sorprese.

• 🔗 ABM, ABE, and Business Connect Are Gone — Welcome to Apple Business
  👤 Somesh Pathak
  Tre portali Apple diventano uno solo. Se amministri dispositivi Apple in azienda, questo è il momento di capire cosa cambia nel tuo workflow e cosa aggiornare prima che qualcosa smetta di funzionare.

• 🔗 To sysprep or not to sysprep, why are we still having this conversation?
  👤 Michael Niehaus
  Sysprep: un dibattito che sembrava morto e sepolto, ma che nel 2026 torna a fare rumore. I SID duplicati, finora ignorati da molti, sono ora ufficialmente un problema di sicurezza, con una deadline concreta: fine 2027.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

• 💻 BeConnected Day
  📅 11 Giugno 2026 - 🌍 In presenza
  La conferenza community più grande d’Italia su Microsoft 365, Copilot, Security e Power Platform, Modern Work e Security ti aspetta, gratis. Speaker MVP e architect Microsoft, sessioni pratiche, networking con i migliori professionisti del settore: una giornata che vale quanto un corso a pagamento.

• AperiTeams Conference 2026
  📅 24 Giugno 2026 - 💻 Online e 🌍 In presenza
  Conferenza gratuita di una giornata alla Microsoft House di Milano dedicata a professionisti IT su infrastrutture, cloud ibrido, modern workplace, cyber security e intelligenza artificiale, con sessioni tecniche, demo e networking organizzata da Inside Technologies.

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Dentro i social in Cina

• 67 negozi nel mondo. 7 in Sicilia. Indovina chi vince.

• Esclusiva: il piano di Substack per l’Italia

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Angine De Poitrine Vol. II / Angine De Poitrine

• Y’est où Grand-Papa? / Au Parc / LeParc

• Crooked Mile / Mercy / Planes Mistaken for Stars

✍️ Pensieri sparsi

Come ogni anno, arriva il mese di Maggio e la mia testa inizia torturarmi mettendomi addosso la sensazione tutta estiva di “lasciare andare”, come se fossimo vicini alle vacanze. Peccato che manchino ancora 3 mesi. Ogni anno la stessa storia, non mi abituerò mai, tocca solo tenere botta.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Per scelta consapevole, quest’anno, ho deciso di partecipare da semplice spettatore a due eventi su tre, proprio per privilegiare il networking senza il pensiero di dover fare una sessione: ha funzionato alla grande. Me ne torno a casa con tante conversazioni interessanti che, forse, da speaker mi sarei perso.

Un pensiero particolare al gruppo di studenti dell’evento di Torino con cui ho avuto una delle più belle chiacchierate degli ultimi anni. In quella chiacchierata credo proprio di aver trovato anche un po’ del mio futuro, oltre che del vostro. Voi sapete chi siete: grazie! ❤️

Tornando all’evento: intensi, divertenti, organizzati benissimo, interessanti. Ogni Global Azure a cui ho partecipato (Ticino, Veneto, Torino), pur con le loro differenze e caratteristiche peculiari, è stato un successone.

Grazie a OverNet per la fiducia e per avermi invitato in questo primo Global Azure Ticino che, spero, sarà l’inizio di una lunga serie!

Grazie per l’ospitalità squisita (nonostante il mio status di semplice spettatore): Luigi Pandolfino, Andrea Marchi, Alberto Jacomuzzi, oltre ad Azure Meetup Veneto ed Azure Meetup Torino.

Che dire: sono cotto ma stra-contento.

Alla prossima! ❤️

Rick

On another note, Italian-language articles from members of the Italian community are finally coming in more often (I was starting to get tired of always having to hunt down content from the usual foreign names).

Happy reading!

⚠️ Important!

The ITSpecialist.News editorial offering has just expanded with a new English section, featuring a curated selection of my main articles.

Since most of these are the same contents available in both languages, you might prefer not to receive them twice.

If you’d like to receive updates only in your preferred language:
→ Go to itspecialistnews.substack.com/account
→ Open the “Notifications” section
→ If you’re an English reader, keep only “ITSpecialist.News – Same Content, in English” enabled and disable the others.
→ If you’re an Italian reader, keep only “ITSpecialist.News | Riccardo Corna” enabled.

📌 In this issue

• FAQ… with style: “Intune error event codes can be a bit cryptic at times. Where can I find a quick and easy reference list of Intune configuration profile error codes?”

• Microsoft News Radar: the latest straight from Microsoft sources.

• Community Picks: the most interesting community-created content this month.

• Events: Global Azure everywhere, plus the usual appointments and, even if we’re getting ahead of ourselves, AperiTeams Conference 2026.

• On a personal note: that’s it, I’ve made up my mind!

❓ FAQ… with style

Question

”Intune error event codes can be a bit cryptic at times. Where can I find a quick and easy reference list of Intune configuration profile error codes?”

Answer

Microsoft maintains official documentation dedicated to exactly this:

📎 Error and status codes in Microsoft Intune.

Here you’ll find a complete table of MDM error codes (iOS/iPadOS, Android, Windows) with descriptions and common causes — very handy when you’re staring at cryptic hex codes in device reports.

For errors specific to app installation (VPP, LOB), there’s also a dedicated page:

📎 App installation error codes for Microsoft Intune.

Bookmark both pages: they’re the first ones to check whenever a profile or app fails without a clear message!

🛰️ Microsoft Radar

A curated selection of content straight from Microsoft sources.

• Microsoft Intune

  • Windows 365 + Intune Advanced Endpoint Management Capabilities: Better Together

  • What’s new in Microsoft Intune – March

  • Secure apps: Where people, data, and AI intersect

• Surface IT Pro

  • Vibe Coding for the NPU

• Microsoft Defender for Endpoint

  • Introducing effective settings: See security configurations enforced on your device

• Microsoft Entra

  • Evolving identity security: How the Conditional Access Optimization Agent helps you adapt

  • Strengthen identity resilience: Recover with confidence using Microsoft Entra Backup and Recovery

  • External MFA in Microsoft Entra ID is now generally available

🌐 Community Picks

The most useful community content I've come across these past few weeks.

• 🔗 WinGet: building evergreen Win32 apps with Microsoft Intune
  👤 Simone Termine
  In the Intune world, WinGet and PowerShell come together to turn classic Win32 apps into evergreen objects that install, update, and uninstall based on the actual software state on the client. A concrete pattern, with scripts and logging included, to cut repetitive work without giving up enterprise-grade governance.

• 🔗 Windows Autopatch: a practical guide to reporting for monitoring updates, readiness, and anomalies
  👤 Davide Salsi
  A structured map of all Windows Autopatch reports in Intune: how to read dashboards, trends, and alerts to truly understand what’s happening with Quality and Feature Updates, measure readiness, spot anomalies, and turn patching from a technical task into a risk management tool.

• 🔗 Windows Autopatch Quick Start: updates take care of themselves (including saying goodbye to Windows 10)
  👤 Francesco Facco
  A practical guide to turning update chaos into an automated flow managed by Intune and Windows Autopatch, from assessing eligibility for Windows 11 all the way to test, pilot, and production rings, with real-world advice on risk, timelines, monitoring, and user management.

🎭 Eventi e Call for Speaker

Community and Microsoft events, plus the main open Calls for Speakers.

• 🌐 Global Azure 2026
  📅 13, 16–18 April 2026 – 💻 Online and/or 🌍 In person
  Global Azure 2026 is back: special days in April 2026 to share our passion for Microsoft Azure through technical sessions, inspiration, and networking. Here’s the list of Italian editions with links to their websites so you can find all the details you need.

  • Global Azure Torino 2026 (I’ll be there, as an attendee)

  • Global Azure Veneto 2026 (I’ll be there, as an attendee)

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Switzerland) (I’ll be there, as a speaker)!

  • Global Azure Milano 2026

Details of my session at Global Azure Ticino 2026:

💻 SCEP It Easy With Intune Cloud PKI
In this session, we’ll explore best practices for implementing the Simple Certificate Enrollment Protocol (SCEP) and integrating it with Intune to ensure secure, automated certificate deployment, comparing the pros and cons of an on-premises SCEP infrastructure versus an Intune Cloud PKI solution.

• ⌚ BeConnected Hour
  📅 30 April 2026 – 💻 Online
  Monthly update on what’s new in Microsoft 365, Teams, MTR, Purview, MDO, and Copilot, together with Luca Vitali, Fabrizio Volpe, and Raffaele Colavecchi.

• AperiTeams Conference 2026
  📅 24 June 2026 – 💻 Online and 🌍 In person
  A free one-day conference at the Microsoft House in Milan for IT professionals, focused on infrastructure, hybrid cloud, modern workplace, cybersecurity, and artificial intelligence, with technical sessions, demos, and networking, organized by Inside Technologies.

Call for Speaker

Here are a few interesting Calls for Speakers.

• BeConnected Day 14

Disclaimer

The events I highlight in “Have you tried turning it off and on again?” are not meant to be a complete list: I only share those I personally come across and consider useful for the community. If an event is missing, it simply slipped past me or I wasn’t aware of it. If you’d like to flag yours, feel free to reach out. Publication is for informational purposes only and does not imply endorsement, approval, sponsorship, or partnership, unless explicitly stated otherwise.

🎧 On a personal note

Outside the IT world, here’s what’s been inspiring me lately.

📖 What I’m reading (books, newsletters, and more)

• Non aprite quella parentesi

• Il mercato del tradimento

• Stamattina 8 miliardi di persone si sono svegliate volendo essere te. Tu ti sei svegliato vergognandoti

🎵 What I’m listening to (this month’s musical obsessions)

• Ephemeral / What We All Come to Need / Pelican

• Luminance / Creative Eclipses / Cave-In

• Wasting Time / Vhs / Castlebeat

✍️ Random thoughts

Folks, after years of fascination and binge-watching vanlife videos, I’ve decided: I’m renting a van for a weekend to see what it’s really like. I still need to pick the dates but, I swear, this time I’m actually doing it.

See you soon!

Riccardo

Some of the links on this site point to products or books sold by third parties. If you choose to make a purchase through these links, I may earn a commission as an affiliate, at no additional cost to you. This helps support the work I do and allows me to keep providing quality content.

Per il resto, finalmente arrivano più spesso articoli in Italiano di membri delle community italiane (iniziavo a stufarmi di dover andare a recuperare contenuti dai soliti noti stranieri).

Buona lettura!

⚠️ Importante!

L’offerta editoriale di ITSpecialist.News si è arricchita con una nuova sezione in lingua inglese, che raccoglie una selezione dei miei contenuti principali.

Poiché si tratta in gran parte degli stessi articoli tradotti, potresti non volerli ricevere due volte, soprattutto se preferisci leggere in una lingua specifica.

Se vuoi scegliere in quale lingua ricevere i contenuti:
→ Vai su itspecialistnews.substack.com/account
→ Apri la sezione “Notifiche”
→ Se sei un lettore in inglese, attiva solo “ITSpecialist.News – Same Content, in English” e disattiva le altre opzioni.
→ Se sei un lettore in italiano, mantieni attiva solo “ITSpecialist.News | Riccardo Corna”.

📌 In questo numero

• FAQ… ma con stile: “I codici degli eventi di Intune degli errori sono talvolta un po' criptici. Dove posso trovare un elenco facile e veloce da consultare dei codici di errore dei configuration profile di Intune?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: Global Azure ovunque, più altri appuntamenti soliti e, anche se siamo in anticipo, AperiTeams conference 2026.

• On a personal note: basta, ho deciso!

❓ FAQ… ma con stile

Domanda

“I codici degli eventi di Intune degli errori sono talvolta un po' criptici. Dove posso trovare un elenco facile e veloce da consultare dei codici di errore dei configuration profile di Intune?”

Risposta

Microsoft mantiene una documentazione ufficiale dedicata proprio a questo:

📎 Error and status codes in Microsoft Intune.

Qui trovi una tabella completa dei codici di errore MDM (iOS/iPadOS, Android, Windows) con descrizione e cause comuni, molto utile quando ti ritrovi con codici esadecimali poco parlanti nei report device.​

Per gli errori specifici di installazione app (VPP, LOB), c’è anche una pagina dedicata:

📎 App installation error codes for Microsoft Intune.

Tieni entrambe le pagine nei bookmark: sono le prime da consultare quando un profilo o un’app fallisce senza un messaggio chiaro!​

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • Windows 365 + Intune Advanced Endpoint Management Capabilities: Better Together

  • What’s new in Microsoft Intune – March

  • Secure apps: Where people, data, and AI intersect

• Surface IT Pro

  • Vibe Coding for the NPU

• Microsoft Defender for Endpoint

  • Introducing effective settings: See security configurations enforced on your device

• Microsoft Entra

  • Evolving identity security: How the Conditional Access Optimization Agent helps you adapt

  • Strengthen identity resilience: Recover with confidence using Microsoft Entra Backup and Recovery

  • External MFA in Microsoft Entra ID is now generally available

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 WinGet: creare app Win32 evergreen con Microsoft Intune
  👤 Simone Termine
  Nel mondo Intune, WinGet e PowerShell si uniscono per trasformare le classiche Win32 app in oggetti “evergreen” che si installano, aggiornano e si disinstallano leggendo lo stato reale del software sul client. Un pattern concreto, script e logging inclusi, per tagliare il lavoro ripetitivo senza rinunciare alla governance enterprise.

• 🔗 Windows Autopatch: guida pratica alla reportistica per monitorare aggiornamenti, readiness e anomalie
  👤 Davide Salsi
  Una mappa ragionata di tutti i report di Windows Autopatch in Intune: come leggere dashboard, trend e alert per capire davvero cosa succede ai Quality e Feature Update, misurare readiness, individuare anomalie e trasformare il patching da attività tecnica a strumento di governo del rischio.

• 🔗 Windows Autopatch Quick Start: gli aggiornamenti si fanno da soli (compreso l’addio a Windows 10)
  👤 Francesco Facco
  Una guida pratica per trasformare il caos degli update in un flusso automatico governato da Intune e Windows Autopatch, passando dall’analisi di eleggibilità a Windows 11 fino ai ring di test, pilota e produzione, con consigli reali su rischi, tempi, monitoraggio e gestione degli utenti.

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call for Speaker aperte.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso.

  • Global Azure Torino 2026 (ci sarò, da spettatore)

  • Global Azure Veneto 2026 (ci sarò, da spettatore)

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Svizzera) (ci sarò, da speaker)!

  • Global Azure Milano 2026

I dettagli della mia sessione al Global Azure Ticino 2026:

💻 SCEP It Easy Con Intune Cloud PKI
Durante questa sessione, esploreremo le migliori pratiche per implementare il Simple Certificate Enrollment Protocol (SCEP) e integrarlo con Intune per garantire una distribuzione sicura e automatizzata dei certificati, confrontando i vantaggi e le sfide di un’infrastruttura SCEP on-premises rispetto a una soluzione con Intune Cloud PKI.

• ⌚ BeConnected Hour
  📅 30 Aprile 2026 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.

• AperiTeams Conference 2026
  📅 24 Giugno 2026 - 💻 Online e 🌍 In presenza
  Conferenza gratuita di una giornata alla Microsoft House di Milano dedicata a professionisti IT su infrastrutture, cloud ibrido, modern workplace, cyber security e intelligenza artificiale, con sessioni tecniche, demo e networking organizzata da Inside Technologies.

Call for Speaker

Ecco alcune Call for Speaker di eventi interessanti.

• BeConnected Day 14

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Non aprite quella parentesi

• Il mercato del tradimento

• Stamattina 8 miliardi di persone si sono svegliate volendo essere te. Tu ti sei svegliato vergognandoti

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Ephemeral / What We All Come to Need / Pelican

• Luminance / Creative Eclipses / Cave-In

• Wasting Time / Vhs / Castlebeat

✍️ Pensieri sparsi

Ragazzuole, ragazzuoli, dopo anni di fascinazione a farmi una cultura guardando video su video, ho deciso: noleggio un van per un weekend e vediamo com’è. Devo ancora scegliere le date ma, giuro, ‘stavolta lo faccio.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Il 14 aprile dalle 14:00 alle 15:00 parlerò di un tema che mi sta molto a cuore:

Zero Trust non è più una best practice opzionale. Nel 2026, con l’AI che ridisegna sia gli attacchi che le difese, è diventato il fondamento di qualsiasi strategia cloud seria.

In questa sessione esploreremo:

🔐 Come il modello Zero Trust si evolve in un contesto cloud-first

🤖 Cosa cambia quando l’AI entra in gioco, sia lato attaccante che lato difensore

☁️ Strumenti e approcci concreti per proteggere identità, endpoint e dati

È un webinar gratuito, organizzato da OverNet.

Se lavori in ambito IT, security o cloud, questa è un’ora che vale la pena mettere in calendario.

👇 Registrati qui:
🔗 https://www.eventi.overnet.education/WebinarCyberTalk

Ci vediamo il 14 aprile!

Short story.​

Regarding the Italian language, I’ve always chosen to use it as the main (and essentially only) language for my publications because I believe that, when you share knowledge, it’s right to do it “here and now” for the local community. There isn’t much more to add: I’ve been doing it since 2011 (the year of my very first blog) and I still do it today.​

Now let’s talk about English. I started publishing in English too in 2023, after my first MVP Summit. The idea was to connect somehow with the community outside of Italy as well. It didn’t work out because my main effort was still focused on Italian content: social posts, talks, events, and so on. English was just something extra that I had added in a rush of enthusiasm, but without any solid foundation behind it. After some time, I realized it was a pointless effort that only ate up time and energy. Today on Substack there is an English section with a few selected pieces of content and, above all, AI gives me a big hand with translations, saving me a lot of time. Has anything changed? No, pretty much nothing, apart from the effort I put into translating, which is definitely lower thanks to AI.​

So what? Maybe it’s a bit of a simple and “naively enthusiastic” thought, but every time I come back from an event like the recent Tech Connect 2026 in Seattle, where there are literally people from all over the world... I remember that there is a whole world out there. 😃​

You might think: “Well, no kidding!”. And you’d be right, but sometimes you need to have things right in front of your eyes to really become aware of them.​

So? All of this to say that I have this idea stuck in my head. The problem is that, in terms of effort, focus, time, and so on, I definitely wouldn’t be able to produce content in two languages with the same quality and intensity. Besides my job at Microsoft and the “IT Specialist” project (driven purely by passion and from which I don’t make a single euro), let’s just say I also like to have a life. 😅​

What would a new project in English mean, according to what this idea is suggesting to me? It would definitely mean choosing just one of the two languages, not both.​

And this is where things become extremely difficult.​

I’ll think about it; in the meantime, I wanted to share this doubt that’s been nagging at me.​

Maybe this idea is just the beginning of something new… or maybe it will just go away on its own, like many other late‑night ideas. 😄​

And probably even these kinds of ideas are born around that time.​

But there’s one question that really matters to me: if one day ITSpecialist.News used another language, would that change the way you follow it?​

Having some points of view on this would be important.​

Vote in the poll, and feel free to write to me here or in private to talk about it!​

See you soon,​

Rick

English version here

Breve storia.

Riguardo la lingua italiana, ho sempre scelto di usarla come lingua principale (e sostanzialmente unica) per le mie pubblicazioni perché credo che, quando si condivide conoscenza, sia giusto farlo “qui e ora” per la community locale. C’è poco da aggiungere: lo faccio dal 2011 (anno del mio primissimo blog) e continuo a farlo tuttora.

Veniamo all’inglese. Ho iniziato a pubblicare anche in lingua inglese nel 2023, dopo il mio primo MVP Summit. L’idea era connettermi in qualche modo anche con la community al di fuori dell’Italia. Non ha funzionato perché il mio sforzo principale era comunque focalizzato sui contenuti in italiano: i post sui social, gli speech, gli eventi, eccetera. L’inglese era solo qualcosa in più che avevo inserito sulle ali dell’entusiasmo ma senza nessun sottostante concreto. Dopo qualche tempo mi sono accorto che era uno sforzo inutile che divorava solo tempo ed energie. Oggi su Substack c’è una sezione inglese con alcuni contenuti selezionati e, soprattutto, l’AI mi dà una grossa mano nelle traduzioni, facendomi risparmiare tantissimo tempo. È cambiato qualcosa? No, praticamente nulla, a parte lo sforzo che ci metto nella traduzione, decisamente inferiore grazie all’AI.

E quindi? Forse è un pensiero un po’ semplice e “ingenuamente entusiastico” ma, ogni volta che torno da un evento come lo scorso Tech Connect 2026 a Seattle, dove ci sono persone letteralmente da tutto il mondo... mi ricordo che esiste un mondo intero là fuori. 😃

Tu penserai: “Ma non mi dire!”. E hai ragione ma, a volte, bisogna avere le cose proprio davanti agli occhi per prenderne davvero consapevolezza.

Quindi? Tutto questo per dire che ho questo tarlo. Il problema è che, a livello di sforzo, focalizzazione, tempo, eccetera, sicuramente non riuscirei a produrre contenuti in due lingue con la stessa qualità e intensità. Oltre al lavoro in Microsoft e al progetto “IT Specialist” (spinto dalla sola passione e da cui non ricavo un solo euro), diciamo che mi piace avere una vita. 😅

Cosa significherebbe un nuovo progetto in Inglese, secondo ciò che il tarlo mi sta suggerendo? Sicuramente scegliere una sola tra le due lingue, non entrambe.

Ed è qui che il tutto diventa estremamente difficile.

Ci rifletterò, per intanto volevo condividere questo dubbio che mi assale.

Forse questo tarlo è solo l’inizio di qualcosa di nuovo… o magari passerà da solo, come tante altre idee notturne. 😄

E probabilmente anche i tarli nascono intorno a quell’ora.

Però c’è una domanda che per me conta molto: se un giorno ITSpecialist.News parlasse un’altra lingua, cambierebbe anche qualcosa nel modo in cui lo segui?

Avere qualche punto di vista su questo, sarebbe importante.

Vota il sondaggio e scrivimi pure qui o in privato per parlarne!

A presto,

Rick

Il 16 aprile ci vediamo presso Acer a Bioggio (Ticino) per una giornata interamente dedicata a Microsoft Azure, cloud e innovazione.

Dettagli dell'evento e della mia sessione:

🗓️ Data e orari evento: 16 aprile - dalle 09.30 alle 17.30
🎙️ La mia sessione: SCEP It Easy Con Microsoft Intune Cloud PKI
📍 Location: Acer Europe AG, Via della Posta 28, Bioggio (Ticino)

Se non l’hai ancora fatto, registrati gratuitamente qui:
👉🏻 Global Azure 2026 Ticino - Biglietti

Vuoi rimanere aggiornato su questo evento e su tutte le ultime novità del mondo Microsoft Endpoint? Iscriviti per seguire tutti gli sviluppi tecnici, i dietro le quinte e i prossimi appuntamenti della community!

Iscriviti ora

Ci vediamo in Ticino! 🇨🇭☁️

Rick

Tornando a noi: il prossimo grande evento è il Global Azure, trovate tutti i dettagli qui sotto. Per il resto, solite FAQ sfiziose e tante risorse ufficiali Microsoft utili.

Buona lettura!

For English Readers

English version here

📌 In questo numero

• FAQ… ma con stile: “Come posso trovare il Bundle ID di un’app iOS disponibile sull’App Store?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: Global Azure ovunque, più altri appuntamenti soliti.

• On a personal note: inquietudine invernale non appena le giornate si fanno più belle e caldine.

❓ FAQ… ma con stile

Domanda

“Come posso trovare il Bundle ID di un’app iOS disponibile sull’App Store?”

Risposta

Non è possibile cercare direttamente i Bundle ID all’interno dell’App Store di Apple. Tuttavia, puoi individuarlo accedendo a un file specifico associato alla tua app o utilizzando un metodo online.

Se l’app è già pubblicata sull’App Store, procedi così:

1. Trova la pagina web dell’app sull’App Store (ad esempio, cercando il link corrispondente).

   1. Esempio: Apple Pages, il cui URL è https://apps.apple.com/it/app/pages-crea-documenti/id361309726

2. Copia il numero che segue la sigla id nell’URL. Nell’esempio indicato, il numero è 361309726.

3. Apri nel browser l’indirizzo https://itunes.apple.com/lookup?id=361309726, sostituendo il numero con quello della tua app.

4. Nell’output visualizzato, cerca il campo bundleId. Nell’esempio appare in questo modo: “bundleId”:”com.apple.Pages”. Il Bundle ID dell’app, quindi, è com.apple.Pages.

📎 Get App Bundle ID - Microsoft Intune

📎 Bundle IDs for iPhone and iPad Apple apps

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft.

• Microsoft Intune

  • What’s New in Microsoft Intune – February

  • Protect browser-based work on agency-managed Windows PCs

  • Admin tasks in Microsoft Intune: Centralized control today, AI-ready for tomorrow

• Windows IT Pro

  • What to know about Windows 11, version 26H1

  • Plan for Windows Server 2016 and Windows 10 2016 LTSB end of support

  • Windows first sign-in restore experience now available

• Microsoft Defender for Endpoint

  • Introducing library management in Microsoft Defender

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Microsoft Intune: dynamic groups con Microsoft Graph e PowerShell
  👤 Simone Termine
  L’articolo racconta come utilizzare PowerShell e Microsoft Graph per creare Dynamic Groups personalizzati utilizzando gli extensionAttributes. Contiene inoltre una demo per mostrare step by step come intervenire su Entra, Intune e PowerShell, indicando anche come fare rollback degli attributi custom e le procedure di troubleshooting.
  

• 🔗 The Unexpected Enrollment: How Personal Windows Home Devices Slipped into Intune and How You Can Finally Block Them
  👤 T-Bone Granheden
  In questo pezzo T-Bone mostra come i PC Windows Home personali riescano comunque a finire in Intune tramite il flusso “Allow my organization to manage my device” quando l’utente aggiunge l’account lavoro in app come Outlook/Teams, e come chiudere il buco usando la nuova impostazione “Disable MDM enrollment when adding work or school account on Windows”, con dettagli pratici su portale, Graph, limiti e impatto su BYOD e SSO, quindi è molto utile se devi mettere ordine tra device personali e aziendali senza rompere l’esperienza utente.
  

• 🔗 Intune Administrator Is the New Domain Admin
  👤 James Robinson
  Intune Administrator può fare danni paragonabili a un Domain Admin. Nell’articolo vengono affrontati rischi reali (code execution di massa, configurazioni insicure, perdita di segregazione dei doveri) e come mitigarli con RBAC, scope tags e MAA.
  

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte.

• ⌚ BeConnected Hour
  📅 25 Marzo 2026 - 💻 Online
  Aggiornamento mensile sulle novità dal mondo Microsoft 365, Teams, MTR, Purview, MDO, Copilot, insieme Luca Vitali, Fabrizio Volpe, Raffaele Colavecchi.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso. L’elenco è parziale e lo aggiornerò man mano che i siti web saranno disponibili.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Svizzera)

  • Global Azure Milano 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

• Il patetico spezzone delle papere AI di Sanremo

• Il lento suicidio della Russia in Ucraina

• Sui social non devi essere te stesso

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• Dumb / Nirvana / Nirvana

• Descending / Fear Inoculum / Tool

• Heliotrope / Vaya / At The Drive-In

✍️ Pensieri sparsi

Voglia di sole, primavera, mare, voglia di stare fuori dalle mura di casa e dell’ufficio, voglia di viaggiare.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

Anyway, moving on: the next big event is Global Azure, you'll find all the details below. As for the rest, you'll find the usual tasty FAQs and plenty of useful official Microsoft resources.

📌 In this issue

• FAQ… but with style: “How can I find the Bundle ID of an iOS app available on the App Store?”

• Microsoft News Radar: updates directly from Microsoft sources.

• Community Picks: the most interesting content created by the community this month.

• Events: Global Azure everywhere, plus the other usual appointments.

• On a personal note: winter restlessness as soon as the days get nicer and warmer.

❓ FAQ… but with style

Question

“How can I find the Bundle ID of an iOS app available on the App Store?”

Answer

It’s not possible to search directly for Bundle IDs within the Apple App Store. However, you can find it by accessing a specific file associated with your app or by using an online method.

If the app is already published on the App Store, proceed as follows:

1. Find the app’s web page on the App Store (for example, by searching for the corresponding link).

   1. Example: Apple Pages, whose URL is https://apps.apple.com/us/app/pages-crea-documenti/id361309726

2. Copy the number following the letters id in the URL. In the example given, the number is 361309726.

3. Open the address https://itunes.apple.com/lookup?id=361309726 in your browser, replacing the number with the one for your app.

4. In the displayed output, look for the bundleId field. In the example, it appears like this: “bundleId”:”com.apple.Pages”. Therefore, the app’s Bundle ID is com.apple.Pages.

📎 Get App Bundle ID - Microsoft Intune

📎 Bundle IDs for iPhone and iPad Apple apps

🛰️ Microsoft Radar

A selection of content directly from Microsoft sources.

• Microsoft Intune

  • What’s New in Microsoft Intune – February

  • Protect browser-based work on agency-managed Windows PCs

  • Admin tasks in Microsoft Intune: Centralized control today, AI-ready for tomorrow

• Windows IT Pro

  • What to know about Windows 11, version 26H1

  • Plan for Windows Server 2016 and Windows 10 2016 LTSB end of support

  • Windows first sign-in restore experience now available

• Microsoft Defender for Endpoint

  • Introducing library management in Microsoft Defender

🌐 Community Picks

The most useful community content I stumbled upon in recent weeks.

• 🔗 Microsoft Intune: dynamic groups with Microsoft Graph and PowerShell
  👤 Simone Termine
  The article explains how to use PowerShell and Microsoft Graph to create custom Dynamic Groups using extensionAttributes. It also includes a demo showing step-by-step how to intervene on Entra, Intune, and PowerShell, as well as how to rollback custom attributes and troubleshooting procedures.

• 🔗 The Unexpected Enrollment: How Personal Windows Home Devices Slipped into Intune and How You Can Finally Block Them
  👤 T-Bone Granheden
  In this piece, T-Bone shows how personal Windows Home PCs still manage to end up in Intune via the “Allow my organization to manage my device” flow when the user adds their work account in apps like Outlook/Teams. He also explains how to plug the hole using the new “Disable MDM enrollment when adding work or school account on Windows” setting, with practical details on the portal, Graph, limits, and impact on BYOD and SSO. It’s very useful if you need to tidy up personal and corporate devices without breaking the user experience.

• 🔗 Intune Administrator Is the New Domain Admin
  👤 James Robinson
  An Intune Administrator can cause damage comparable to a Domain Admin. The article addresses real risks (mass code execution, insecure configurations, loss of segregation of duties) and how to mitigate them with RBAC, scope tags, and MAA.

🎭 Events and Call for Speakers

Community and Microsoft events, plus the main open Call 4 Speakers.

• ⌚ BeConnected Hour
  📅 March 25, 2026 - 💻 Online
  Monthly update on news from the world of Microsoft 365, Teams, MTR, Purview, MDO, and Copilot, together with Luca Vitali, Fabrizio Volpe, and Raffaele Colavecchi.

• 🌐 Global Azure 2026
  📅 April 13, 16-18, 2026 - 💻 Online and/or 🌍 In-person
  Global Azure 2026 returns: special days in April 2026 to experience together the passion for Microsoft Azure through technical sessions, inspiration, and networking. Here is the list of the Italian instances with the relative link to each website, so you can get all the necessary information. The list is partial and I will update it as the websites become available.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Pordenone 2026

  • Global Azure Puglia 2026

  • Global Azure Ticino 2026 (Switzerland)

  • Global Azure Milano 2026

Disclaimer
The events I point out in “Have you tried restarting?” are not an exhaustive list: I share the ones I personally intercept and find useful for the community. If an event is missing, it simply slipped by me or I wasn’t aware of it: if you want to point yours out to me, write me. The publication is for informational purposes and does not imply endorsement, approval, sponsorship, or partnership, unless explicitly stated otherwise.

🎧 On a personal note

Outside the IT world, here is what’s been inspiring me lately.

📖 What I’m reading (books, newsletters, and various things)

• Il patetico spezzone delle papere AI di Sanremo

• Il lento suicidio della Russia in Ucraina

• Sui social non devi essere te stesso

🎵 What I’m listening to (musical fixations of the month)

• Dumb / Nirvana / Nirvana

• Descending / Fear Inoculum / Tool

• Heliotrope / Vaya / At The Drive-In

✍️ Random thoughts

Craving the sun, spring, the sea, craving to be outside the walls of my home and office, craving to travel.

See you soon!

Riccardo

Some of the links on this site point to products or books sold by third parties. If you decide to purchase through these links, I may receive an affiliate commission at no extra cost to you. This supports the work I do and allows me to continue offering quality content.

Abbiamo mostrato Ask Copilot nella taskbar, Agents in Windows, Copilot Voice, l’integrazione di Copilot in File Explorer e Centro Notifiche, Click To Do e le capacità di Copilot+ PC. È stata un’esperienza indimenticabile, la prima come speaker ad un evento Microsoft.

Condividere idee, entusiasmo e intensità tecnologica da quel palco è esattamente ciò che rende speciali eventi e giornate come questa.

Windows come tela per AI e agenti

In una frase: Windows è una piattaforma affidabile dove AI e agenti si integrano perfettamente nei flussi di lavoro familiari e portano assistenza AI direttamente in finestre e gesti quotidiani, proprio come colori vivaci su una tela che gli utenti già padroneggiano.

Un grande ringraziamento ad Andrea Perna per aver condiviso il palco insieme: sinergia perfetta, erogazione fluida e una presentazione che abbiamo gestito alla grande insieme!

Un grazie sincero va a anche Francesco Falco, Natalia Valenti e Veronica Rosso per avermi concesso questa opportunità straordinaria.

Queste foto catturano l’atmosfera di oggi: magia del team, orgoglio per il contributo e grande carica per ciò che verrà.

A presto!

Rick

English version here

📰 Cosa preferisci? Video o articolo?

Alcune note per sfruttare al meglio questo contenuto.

Se preferisci vedere il video per intero, facile: lo trovi qui sopra nell’intestazione.

Se preferisci leggere, facile anche in questo caso: continua pure la lettura qui. Per ogni passaggio ho inserito lo spezzone specifico di video, così vedrai solo le schermate che ti interessano, senza il mio faccione che parla.

In ogni caso, iscriviti alla newsletter per essere sicuro di non perderti nemmeno una nuova uscita dei miei tutorial.

Iscriviti ora

Perfetto, iniziamo!

Disclaimer

Prima di entrare nel vivo della configurazione, è doveroso un disclaimer fondamentale: questa policy funziona esclusivamente su dispositivi Supervised.
Ciò significa che i device devono essere stati enrollati in Intune attraverso Apple Business Manager (ABM) sfruttando un profilo di Automatic Device Enrollment (ADE). Se stai gestendo dispositivi enrollati manualmente o in scenario BYOD, questa procedura non avrà alcun effetto.

Detto questo, tuffiamoci sul portale di Intune e iniziamo ad “operare”! ^😆

Reperire i Bundle ID delle App di Sistema

Per poter nascondere un’app, Intune necessita del suo Bundle ID, ovvero una stringa univoca che identifica l’applicazione all’interno del sistema operativo. In questo articolo ci concentreremo su due app native che spesso gli amministratori IT vogliono rimuovere dalla vista degli utenti: Freeform e Games.

Fortunatamente, Apple ci viene incontro con una risorsa ufficiale. Esiste una pagina del supporto Apple che è una vera miniera d’oro per noi admin: qui sono elencati tutti i bundle ID delle app native preinstallate su iOS e iPadOS, pronti per essere copiati.

Ecco il link alla pagina di supporto:

• ID pacchetto per app Apple per iPhone e iPad

Creazione della Policy su Intune

Una volta recuperati gli ID necessari, ci spostiamo sul portale Microsoft Intune per creare la configurazione effettiva. Per ottenere il risultato, utilizzeremo un profilo di “Device Restrictions” (o in alternativa il Settings Catalog) specifico per iOS/iPadOS.

Un piccolo dettaglio tecnico ma importante: sebbene il portale Intune permetta di nascondere le app anche inserendo semplicemente l’URL dell’app sull’App Store, personalmente preferisco sempre utilizzare il Bundle ID.

Procediamo quindi incollando le stringhe recuperate nel passaggio precedente.

Il trucco per i Bundle ID delle App di Terze Parti

Abbiamo visto come gestire le app native Apple, ma cosa succede se volessimo nascondere un’app di terze parti (ad esempio un social network o un’app di messaggistica)?
In questo caso Apple non fornisce una lista comoda come per le app di sistema. Tuttavia, esiste un “trucchetto” molto rapido per risalire al Bundle ID partendo dalla pagina web dell’App Store.

Il metodo consiste nel cercare l’app desiderata sulla versione web dell’App Store, individuare il codice numerico ID presente nell’URL della pagina e utilizzarlo (tramite una query specifica o tool online gratuiti) per ottenere il Bundle ID esatto da inserire nella policy.

Questo è il link a cui “appiccicare” in coda il codice dell’app, in modo da ricavare il file di testo da cui estrarre il bundle Id (la procedura esatta la vedi nel video qui sotto).

• https://itunes.apple.com/lookup?id=<qui il codice>

Risultato Finale sul Dispositivo

Dopo aver applicato la policy e atteso la sincronizzazione del dispositivo, è il momento della verifica.
Come potrai vedere dal video qui sotto, scorrendo la App Library e la Home Screen del nostro iPhone di test, le icone di Freeform e Games sono sparite. È importante notare che le app sono tecnicamente ancora installate sul sistema, ma sono state rese completamente inaccessibili e invisibili all’utente.

Documentazione

Per chi volesse approfondire ogni singolo dettaglio tecnico, lascio qui sotto una quantità di documentazione che definirei “smodata” (sì, citazione necessaria 😆).

• iOS/iPadOS device restrictions in Intune

• iOS/iPadOS Bundle IDs for built-in apps

• iOS/iPadOS supervised mode with Intune

• iOS/iPadOS device feature settings in Intune

• Get App Bundle ID from Intune admin center

Mi raccomando: STUDIALA.

Conclusioni

Abbiamo visto come pulire l’interfaccia dei nostri device aziendali nascondendo ciò che non è strettamente necessario al lavoro quotidiano.

Se questo articolo ti è stato utile, iscriviti alla newsletter ITSpecialist.News per non perdere i prossimi approfondimenti sul mondo Microsoft Enterprise.

Alla prossima!

Rick

📰 What do you prefer? Video or article?

A few notes to help you get the most out of this content.

If you prefer to watch the full video, easy: you’ll find it right above in the header.

If you prefer reading, that’s just as easy: keep scrolling here. For each step I’ve embedded the specific video segment, so you’ll only see the screens you care about, without my talking head in the way.

Either way, subscribe to the newsletter to make sure you never miss a new tutorial.

Iscriviti ora

OK, let’s go!

Disclaimer

Before we dive into the actual configuration, a key disclaimer: this policy only works on Supervised devices.
This means devices must be enrolled in Intune via Apple Business Manager (ABM) using an Automatic Device Enrollment (ADE) profile. If you are managing manually enrolled devices or a BYOD scenario, this procedure will have no effect.

With that out of the way, let’s jump into the Intune portal and start “operating”! 😆

Retrieving Bundle IDs for System Apps

To hide an app, Intune needs its Bundle ID, a unique string that identifies the application within the operating system. In this article we’ll focus on two native apps that IT admins often want to remove from users’ view: Freeform and Games.

Fortunately, Apple gives us an official resource. There is an Apple Support page that’s a real gold mine for us admins: it lists all the Bundle IDs of the native apps preinstalled on iOS and iPadOS, ready to be copied.

Here’s the link to the support page:

• ID pacchetto per app Apple per iPhone e iPad

Creating the Policy in Intune

Once you have collected the required IDs, move over to the Microsoft Intune portal to create the actual configuration. To achieve the result, we’ll use an iOS/iPadOS-specific Device Restrictions profile (or alternatively the Settings Catalog).

One small but important technical detail: even though the Intune portal lets you hide apps by simply entering the App Store URL, I personally always prefer to use the Bundle ID.

So let’s go ahead and paste in the strings we gathered in the previous step.

The trick for third‑party app Bundle IDs

We’ve seen how to handle Apple’s native apps, but what if you want to hide a third‑party app (for example a social network or a messaging app)?
In this case Apple does not provide a handy list like it does for system apps. However, there is a very quick “trick” to get the Bundle ID starting from the App Store web page.

The method is to search for the desired app on the web version of the App Store, identify the numeric ID in the page URL, and use it (via a specific query or free online tools) to obtain the exact Bundle ID to add to your policy.

Here is the link where you “append” the app’s numeric code so you can retrieve the text file and extract the Bundle ID (you can see the exact procedure in the video below).

• https://itunes.apple.com/lookup?id=<qui il codice>

Final Result on the Device

After applying the policy and waiting for the device to sync, it’s time to verify the result.
As you can see in the video below, when scrolling through the App Library and the Home Screen on our test iPhone, the Freeform and Games icons have disappeared. It’s important to note that the apps are still technically installed on the system, but they’ve been made completely inaccessible and invisible to the user.

Documentation

For anyone who wants to dig into every single technical detail, below you’ll find what I’d call an absurd amount of documentation (yes, mandatory quote 😆).

• iOS/iPadOS device restrictions in Intune

• iOS/iPadOS Bundle IDs for built-in apps

• iOS/iPadOS supervised mode with Intune

• iOS/iPadOS device feature settings in Intune

• Get App Bundle ID from Intune admin center

Make sure you study it.

Conclusions

We’ve seen how to clean up the interface of our corporate devices by hiding everything that isn’t strictly necessary for day‑to‑day work.

If you found this article useful, subscribe to the ITSpecialist.News newsletter so you don’t miss upcoming deep dives into the Microsoft Enterprise world.

See you next time!

Rick

Non appena avrò deciso come pianificare questa “stagione primaverile” di eventi, ovviamente, ne avrai notizia qui. Spero di vederti e, come sempre, buona lettura!

Rick

For English Readers

English version here

📌 In questo numero

• FAQ… ma con stile: “Un amministratore di Intune nel contesto di uno specifico scope tag, quando va a rivedere le richieste di elevazione nell’Endpoint Privilege Management, cosa vede? Solo le richieste afferenti al suo scope tag o tutte quelle del tenant?”

• Microsoft News Radar: le novità direttamente dalle fonti Microsoft.

• Community Picks: i contenuti più interessanti creati dalla community questo mese.

• Eventi: ricomincia a muoversi qualcosa per la prossima stagione degli eventi.

• On a personal note: I’m a Seattleite.

❓ FAQ… ma con stile

Domanda

“Un amministratore di Intune nel contesto di uno specifico scope tag, quando va a rivedere le richieste di elevazione nell’Endpoint Privilege Management, cosa vede? Solo le richieste afferenti al suo scope tag o tutte quelle del tenant?”

Risposta

Con l’aggiornamento rilasciato nella settimana del 10 novembre 2025 (Service Release 2511), Microsoft ha implementato l’applicazione degli scope tag per le richieste di elevazione di Endpoint Privilege Management .

Prima di questo aggiornamento

Gli amministratori con le autorizzazioni per gestire le richieste di elevazione potevano visualizzare tutte le richieste del tenant, indipendentemente dagli scope tag assegnati .

Dopo l’aggiornamento

L’applicazione degli scope tag è ora attiva: gli amministratori possono visualizzare e gestire solo le richieste relative ai dispositivi e agli utenti che rientrano nell’ambito del loro scope tag assegnato. Questa modifica aiuta a mantenere i confini amministrativi e rafforza la sicurezza, allineando Endpoint Privilege Management ai principi Zero Trust e riducendo la visibilità non necessaria su dispositivi e utenti al di fuori del proprio perimetro di competenza .

In sintesi: se un amministratore ha assegnato lo scope tag “Italy”, vedrà solo le richieste di elevazione provenienti da dispositivi e utenti taggati con “Italy”, garantendo una gestione più granulare e sicura delle autorizzazioni .

Ti lascio, come sempre, il conforto della documentazione ufficiale per i tuoi approfondimenti.

📎 Scope tag enforcement for Endpoint Privilege Management elevation requests

📎 About support approved elevations

📎 What’s new in Microsoft Intune: December 2025

📎 Use role-based access control (RBAC) and scope tags for distributed IT

🛰️ Microsoft Radar

Una selezione di contenuti direttamente dalle fonti Microsoft: tantissime le novità annunciate ad Ignite.

• Microsoft Intune

  • What's new in Microsoft Intune

  • Microsoft Intune - Important Notices

  • Microsoft Intune servicing information and details

• Windows IT Pro

  • Announcing hardware-accelerated BitLocker

  • Windows news you can use: December 2025

  • Windows skilling snacks: bite-sized learning for IT pros

• Microsoft Entra

  • Road to the cloud - Case studies to reduce your dependency on traditional on-premises Active Directory services - Microsoft Entra

🌐 Community Picks

I contenuti più utili della community in cui mi sono imbattuto in queste settimane.

• 🔗 Active Directory: le best practice da seguire
  👤 Silvio Di Benedetto
  Una guida pratica per rendere Active Directory resiliente: privilegi ridotti all’essenziale, ruoli separati, Tier Model applicato con disciplina, password locali gestite con LAPS e rotazione consapevole della chiave KRBTGT. Vale la lettura perché offre criteri concreti per evitare compromissioni e rafforzare l’intera infrastruttura.
  

• 🔗 Come utilizzare uno script PowerShell come installer type per le app Win32 in Microsoft Intune
  👤 Simone Termine
  L’articolo spiega una novità di gennaio 2026: come usare PowerShell come “installer type” per gestire prerequisiti, logging e post-config, senza reimpacchettare ogni volta .intunewin. Include esempi e consigli pratici su detection, return code e troubleshooting.
  

• 🔗 Automated Windows Autopilot Weekly Reporting with Azure Logic Apps 📊
  👤 Simone Colella
  Come automatizzare un report settimanale di Windows Autopilot con Azure Logic Apps e Microsoft Graph, inviando al Service Desk email con KPI e CSV dettagliati. È interessante perché trasforma i log grezzi in metriche pronte all’uso, permettendo monitoraggio proattivo, analisi dei failure e ottimizzazione dei deployment Autopilot.
  

🎭 Eventi e Call for Speaker

Eventi di community e Microsoft, oltre alle principali Call 4 Speaker aperte.

• 🌐 Global Azure 2026
  📅 13, 16-18 Aprile 2026 - 💻 Online e/o 🌍 In presenza
  Ritorna il Global Azure 2026: giornate speciali ad Aprile 2026, per vivere insieme la passione per Microsoft Azure tra sessioni tecniche, ispirazione e networking. Ecco l’elenco delle istanze italiane con relativo link al sito web di ognuna, per avere tutte le informazioni del caso. L’elenco è parziale e lo aggiornerò man mano che i siti web saranno disponibili.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Puglia 2026

Nonostante manchi ancora un po’ di tempo (l’evento si terrà ad Aprile), la maggior parte delle C4S è già chiusa. Di seguito quelle ancora aperte ad oggi (11 Febbraio 2026).

• 🌐 Call for Speaker: Global Azure Pordenone 2026

Disclaimer

Gli eventi che segnalo in “Hai provato a riavviare?” non costituiscono una lista completa: condivido quelli che intercetto personalmente e che ritengo utili alla community. Se un evento manca, semplicemente mi è scappato o non ne sono venuto a conoscenza: se vuoi segnalarmi il tuo, scrivimi. La pubblicazione è a scopo informativo e non implica endorsement, approvazione, sponsorship o partnership, salvo diversa indicazione esplicita.

🎧 On a personal note

Fuori dal mondo IT, ecco cosa mi sta ispirando ultimamente.

📖 Cosa sto leggendo (libri, newsletter e varie)

Libri

• Questo mese niente libri ma sto cercando ispirazione: se hai qualcosa da segnalarmi, sono tutto orecchi!

Newsletter

• Crans Montana e il gioco dei 26 Cantoni / Daniela Amenta

• Fatturi, fai utili e fallisci lo stesso / Frank Merenda

• French -Touch! / Mattia Ravanelli

🎵 Cosa sto ascoltando (scimmie musicali del mese)

• ‎Ex Lion Tamer / Pink Flag / Wire

• Stay / Diving For A Prize / Sea Lemon

• Crystals (feat. Benjamin Gibbard) / Diving For A prize / Sea Lemon

✍️ Pensieri sparsi

Seattle here we go! Questo mese sarò in visita a Seattle, città in cui faccio ritorno per la quarta volta: ormai posso quasi definirmi un “Seattleite” e inizio a sviluppare una certa affezione per quei luoghi. Un viaggetto per interrompere la routine (sempre uguale a se stessa negli ultimi mesi) ci voleva proprio.

A presto!

Riccardo

Alcuni dei link presenti su questo sito rimandano a prodotti o libri venduti da terze parti. Se decidi di acquistare tramite questi link, potrei ricevere una commissione come affiliato, senza alcun costo aggiuntivo per te. Questo supporta il lavoro che faccio e mi permette di continuare a offrire contenuti di qualità.

As soon as I’ve decided how to plan this “spring season” of events, you’ll of course hear about it here. I hope to see you there and, as always, happy reading!

Rick

📌 In this issue

• FAQ… with style: “When an Intune admin is limited by a specific scope tag and reviews Endpoint Privilege Management elevation requests, what do they see? Only requests within their scope tag or all tenant requests?”

• Microsoft News Radar: updates straight from official Microsoft sources.

• Community Picks: the most interesting community content from this month.

• Events: things are starting to move again for the upcoming event season.

• On a personal note: I’m a Seattleite.

❓ FAQ… with style

Question

“When an Intune admin is limited by a specific scope tag and reviews Endpoint Privilege Management elevation requests, what do they see? Only requests within their scope tag or all tenant requests?”

Answer

With the update released in the week of November 10, 2025 (Service Release 2511), Microsoft implemented scope tag enforcement for Endpoint Privilege Management elevation requests.

Before this update

Admins with permissions to manage elevation requests could see all tenant requests, regardless of the scope tags assigned.

After the update

Scope tag enforcement is now active: admins can view and manage only the requests related to devices and users that fall within the scope of their assigned scope tag. This change helps maintain administrative boundaries and strengthens security by aligning Endpoint Privilege Management with Zero Trust principles and reducing unnecessary visibility into devices and users outside their area of responsibility.

In short: if an admin is assigned the “Italy” scope tag, they will only see elevation requests coming from devices and users tagged with “Italy”, ensuring more granular and secure permission management.

As always, I’ll leave you with the comfort of the official documentation for further reading.

📎 Scope tag enforcement for Endpoint Privilege Management elevation requests

📎 About support approved elevations

📎 What’s new in Microsoft Intune: December 2025

📎 Use role-based access control (RBAC) and scope tags for distributed IT

🛰️ Microsoft Radar

A selection of content directly from official Microsoft sources: tons of new features were announced at Ignite.

• Microsoft Intune

  • What's new in Microsoft Intune

  • Microsoft Intune - Important Notices

  • Microsoft Intune servicing information and details

• Windows IT Pro

  • Announcing hardware-accelerated BitLocker

  • Windows news you can use: December 2025

  • Windows skilling snacks: bite-sized learning for IT pros

• Microsoft Entra

  • Road to the cloud - Case studies to reduce your dependency on traditional on-premises Active Directory services - Microsoft Entra

🌐 Community Picks

The most useful community content I’ve come across over the past few weeks.

• 🔗 Active Directory: le best practice da seguire
  👤 Silvio Di Benedetto
  A practical guide to making Active Directory resilient: least‑privilege access, clear role separation, a well‑disciplined Tier Model, local passwords managed with LAPS, and thoughtful KRBTGT key rotation. It’s well worth reading because it provides concrete criteria to prevent compromise and strengthen your entire infrastructure.
  

• 🔗 Come utilizzare uno script PowerShell come installer type per le app Win32 in Microsoft Intune
  👤 Simone Termine
  The article explains a new feature from January 2026: how to use PowerShell as an “installer type” to handle prerequisites, logging and post-config, without repackaging .intunewin every time. It includes examples and practical tips on detection, return codes and troubleshooting.
  

• 🔗 Automated Windows Autopilot Weekly Reporting with Azure Logic Apps 📊
  👤 Simone Colella
  How to automate a weekly Windows Autopilot report with Azure Logic Apps and Microsoft Graph, sending the Service Desk emails with KPIs and detailed CSVs. It’s interesting because it turns raw logs into ready-to-use metrics, enabling proactive monitoring, failure analysis and optimization of Autopilot deployments.
  

🎭 Events and Call for Speaker

Community and Microsoft events, plus the main open Calls for Speakers.

• 🌐 Global Azure 2026
  📅 13, 16-18 April 2026 - 💻 Online e/o 🌍 In presence
  Global Azure 2026 is back: special days in April 2026 to share a passion for Microsoft Azure through technical sessions, inspiration and networking. Here’s a list of the Italian events with links to their websites so you can find all the details you need. The list is partial and I’ll update it as new sites go live.

  • Global Azure Torino 2026

  • Global Azure Veneto 2026

  • Global Azure Puglia 2026

Even though there’s still some time to go (the event will take place in April), most of the Calls for Speakers are already closed. Below are the ones still open as of today (11 February 2026).

• 🌐 Call for Speaker: Global Azure Pordenone 2026

Disclaimer

The events I feature in “Have you tried restarting?” are not meant to be a complete list: I share the ones I personally come across and consider useful for the community. If an event is missing, it simply slipped past me or I wasn’t aware of it; if you’d like to highlight yours, just reach out. Publication is for informational purposes only and does not imply endorsement, approval, sponsorship or partnership, unless explicitly stated otherwise.

🎧 On a personal note

Outside the IT world, here’s what’s been inspiring me lately.

📖 What I’m reading (books, newsletters)

Books

• This month, no books on my list yet, but I’m on the hunt for inspiration—if you have any recommendations, I’m all ears!

Newsletter

• Crans Montana e il gioco dei 26 Cantoni / Daniela Amenta

• Fatturi, fai utili e fallisci lo stesso / Frank Merenda

• French -Touch! / Mattia Ravanelli

🎵 What I’m listening to (this month’s earworms).

• ‎Ex Lion Tamer / Pink Flag / Wire

• Stay / Diving For A Prize / Sea Lemon

• Crystals (feat. Benjamin Gibbard) / Diving For A prize / Sea Lemon

✍️ Scattered thoughts.

Seattle here we go! This month I’ll be visiting Seattle, a city I’m returning to for the fourth time: at this point I can almost call myself a “Seattleite” and I’m really starting to grow fond of the place. A little trip to break up the routine (which has been exactly the same for the past few months) was just what I needed.

See you soon!

Riccardo

Some of the links on this site point to products or books sold by third parties. If you decide to purchase through these links, I may earn a commission as an affiliate, at no additional cost to you. This supports the work I do and allows me to keep offering quality content.

📰 Video or article? What do you prefer?

Some notes to make the most of this content.

If you prefer watching the full video, easy: find it above in the header.

If you prefer reading, also easy: keep reading here. For each step, I’ve inserted the specific video clip, so you’ll only see the screens that interest you, without my face talking.

Either way, subscribe to the newsletter to make sure you don’t miss any new tutorial releases.

Iscriviti ora

Perfect, let’s get started!

What are preinstalled apps?

When talking about “preinstalled apps,” we mean the Microsoft Store in-box apps that Windows 11 provides by default (those you already find ready in Start and the Installed apps list).

They’re convenient in consumer scenarios, but in enterprise environments they’re often just noise: they increase user confusion, generate avoidable tickets, and complicate base image standardization.

Approach

The approach is: create a configuration profile in Intune’s Settings Catalog, enable “Remove default Microsoft Store packages from the system,” and set to True the apps you want to remove.

Enforcement happens during specific events like OOBE/provisioning or user sign-in after upgrade/policy update, so it’s normal not to see “instant” results.

Requirements

To use the RemoveDefaultMicrosoftStorePackages setting, you need precise OS/edition prerequisites:

• The feature is designed for Windows 11 Enterprise/Education

• Requires Windows 11 version 25H2 (or later)

• The PC must be managed by Microsoft Intune

• Does not support multi-session environments

Important note 1: not a “universal” anti-bloatware

With this configuration, you remove only the Microsoft “in-box” default apps listed in the policy, not any third-party bloatware (OEM, trials, “exotic” stuff).

For those, continue using custom scripts (PowerShell) or Remediations/Proactive Remediations via Intune, as per tradition.

Important note 2: policy application timing and scenarios

The policy activates in specific situations, so if you expect apps to disappear instantly on an existing machine with an already-created user profile, listen carefully to what I’m about to say.

Here are the situations where the policy activates:

• Out-of-box experience (OOBE)

• User login after an OS upgrade

• User login after a policy change

This means removal is guaranteed on new user profiles created on the machine after policy application, while for existing ones, you need at least logoff-logon a few hours after policy creation.

Perfect, now we’re ready to start!

Initial situation verification

Before touching Intune, it’s best to check the “out of the box” situation: standard Windows 11 PC with default apps present, so you have a clean and measurable before/after.

You can do this verification from Settings → Apps → Installed apps (or searching “Xbox,” “Camera,” etc. in Start).

Removal configuration

In Microsoft Intune admin center, create a Configuration profile for “Windows 10 and later” using “Settings catalog,” then search for the setting Remove default Microsoft Store packages from the system.

If you want to navigate the tree manually, find everything under the node:

Administrative Templates → Windows Components → App Package Deployment

Policy application verification

Now log into a machine targeted by our policy and verify that the selected apps are no longer installed.

Microsoft describes policy application in scenarios like OOBE/provisioning and sign-in after upgrade or policy update, so correct verification timing is crucial.

For an “admin” verification, you can also check that the policy has written the registry keys in HKLM\SOFTWARE\Policies\Microsoft\Windows\Appx\RemoveDefaultMicrosoftStorePackages.

Deep dives (generous like extra pounds)

Here’s the usual dump of official Microsoft documentation (yes: it needs to be STUDIED).

• Policy-based in-box app removal (Microsoft Learn)

• Windows IT Pro official blog

Conclusions

Finally, a supported and “clean” method to manage default apps on Windows 11 Enterprise/Education without relying solely on scripts that eventually bill you during Autopilot or after an upgrade!

If you liked the article, leave a like, reshare everywhere on your favorite socials, and subscribe to the ITSpecialist.News newsletter: it’s the best way not to miss practical guides on Intune, Windows, and security.

See you in the next video! Talk soon… LEGENDARY!

Rick

English version here

📰 Cosa preferisci? Video o articolo?

Alcune note per sfruttare al meglio questo contenuto.

Se preferisci vedere il video per intero, facile: lo trovi qui sopra nell’intestazione.

Se preferisci leggere, facile anche in questo caso: continua pure la lettura qui. Per ogni passaggio ho inserito lo spezzone specifico di video, così vedrai solo le schermate che ti interessano, senza il mio faccione che parla.

In ogni caso, iscriviti alla newsletter per essere sicuro di non perderti nemmeno una nuova uscita dei miei tutorial.

Iscriviti ora

Perfetto, iniziamo!

Cosa sono le app preinstallate?

Quando si parla di “app preinstallate” si intendono le app Microsoft Store preinstallate/in-box che Windows 11 mette a disposizione di default (quelle che ti ritrovi già pronte in Start e nell’elenco App installate).

Sono comode in ambito consumer, ma in azienda spesso sono solo rumore: aumentano la confusione per l’utente, generano ticket evitabili e complicano la standardizzazione dell’immagine di base.

Approccio

L’approccio è: creare un profilo di configurazione nel Settings Catalog di Intune, abilitare “Remove default Microsoft Store packages from the system” e impostare a True le app che vuoi rimuovere.

L’enforcement avviene durante eventi specifici come OOBE/provisioning o il sign-in dopo upgrade/aggiornamento policy, quindi è normale non vedere risultati “istantanei”.

Requisiti

Per poter usare l’impostazione RemoveDefaultMicrosoftStorePackages servono prerequisiti precisi lato OS/edizione:

• la funzionalità è pensata per Windows 11 Enterprise/Education

• richiede Windows 11 versione 25H2 (o successiva).

• Il PC deve essere gestito da Microsoft Intune

• Non supporta ambienti multi-session

Nota importante 1: non è un anti-bloatware “universale”

Con questa configurazione rimuovi solo le default app Microsoft “in-box” previste dalla lista/policy, non eventuale bloatware di terze parti (OEM, trial, robe “esotiche”).

Per queste ultime si continua ad andare di script custom (PowerShell) o Remediations/Proactive Remediations via Intune, come da tradizione.

Nota importante 2: tempistiche e scenari di applicazione della policy di rimozione”

La policy si attiva in situazioni specifiche quindi, se ti aspetti che su una macchina esistente con un profilo utente già esistente le app scompaiano all’istante, ascolta bene quello che ti sto per dire.

Ecco le situazioni in cui la policy si attiva:

• Out-of-box experience (OOBE)

• Login di un utente dopo un upgrade di sistema operativo

• Login di un utente dopo una modifica alla policy

Questo significa che la rimozione viene garantita sui profili utente nuovi che vengono creati sulla macchina dopo l’applicazione della policy mentre, per quelli esistenti, bisogna fare come minimo logoff-logon dopo qualche ora dalla creazione della policy.

Perfetto, ora siamo pronti ad iniziare!

Verifica situazione iniziale

Prima di toccare Intune, conviene guardare la situazione “out of the box”: PC Windows 11 standard con le default app presenti, così hai un prima/dopo pulito e misurabile.

Questa verifica la puoi fare anche da

Impostazioni → App → App installate (o cercando “Xbox”, “Camera”, ecc. in Start).

Configurazione della rimozione

In Microsoft Intune admin center crea un Configuration profile per “Windows 10 and later” usando “Settings catalog”, poi cerca la setting Remove default Microsoft Store packages from the system.

Se vuoi navigare l’alberatura manualmente, trovi tutto sotto il nodo:

Administrative Templates → Windows Components → App Package Deployment

Verifica applicazione della policy di rimozione

Ora accedi ad una macchina in target rispetto alla nostra policy e verifica che le app selezionate non risultino più installate.

Microsoft descrive l’applicazione della policy in scenari come OOBE/provisioning e sign-in dopo upgrade o dopo aggiornamento della policy, quindi il timing corretto della verifica è fondamentale.

Per una verifica “da admin”, puoi anche controllare che la policy abbia scritto le chiavi di registro in HKLM\SOFTWARE\Policies\Microsoft\Windows\Appx\RemoveDefaultMicrosoftStorePackages.

Approfondimenti (generosi come i chili di troppo)

Qui sotto la solita secchiata di documentazione ufficiale Microsoft (sì: va STUDIATA).

• Policy-based in-box app removal (Microsoft Learn)

• Blog ufficiale Windows IT Pro

Conclusioni

Finalmente un metodo supportato e “pulito” per gestire le default app su Windows 11 Enterprise/Education senza basarsi solo su script che prima o poi ti presentano il conto durante Autopilot o dopo un upgrade!

Se l’articolo ti è piaciuto, lascia un cuoricino, ricondividi tutto sui tuoi social preferiti e iscriviti alla newsletter di ITSpecialist.News: è il modo migliore per non perderti guide pratiche su Intune, Windows e sicurezza.

Al prossimo video! A presto… MITICI!

Rick