Il passaggio da soluzioni on-premise Active Directory a Microsoft Entra ID e Intune sta accelerando, e la fine del ciclo di vita di Windows 10 ha reso tale transizione ancora più urgente per le organizzazioni che gestiscono grandi parchi di dispositivi Windows .
Provisioning devices into the cloud is more than just installing Windows 11—it means joining devices to the right identity service, deploying the Tanium agent automatically, applying policies, and ensuring the device is fully managed before it ever reaches an end user. Tanium Provision È stato progettato proprio per gestire questa situazione, e l’integrazione con Entra ID e Intune offre una serie di opzioni di configurazione che ogni team che stia pianificando una migrazione a “ Windows 11 ” deve comprendere.
Rob illustra due approcci distinti alla registrazione di Entra ID all’interno di Tanium Provision:
- Utilizzo di Configuration Designer di Windows per generare un pacchetto di provisioning
- Utilizzo di un file di configurazione di Autopilot
Ciascun metodo produce un risultato diverso per quanto riguarda il momento in cui il dispositivo compare in Intune, l’eventuale installazione dell’agente Tanium durante la creazione e l’eventuale esecuzione di script personalizzati al termine del provisioning. Non si tratta di differenze di poco conto; esse incidono sui tempi di ritorno sull’investimento, sui costi operativi e sul modo in cui gestite i profili dei dispositivi all’interno della vostra organizzazione.
Rob illustra inoltre i compromessi specifici che dovrebbero guidare le vostre decisioni di progettazione, tra cui la scadenza dei token, i requisiti relativi alla struttura dei file .zip e a cosa verificare quando si verifica un problema.
Se il Suo team sta valutando come modernizzare la gestione dei dispositivi nell’ambito dell’implementazione di Windows 11 , questa guida le fornirà i dettagli tecnici necessari per compiere una scelta consapevole. Guardi la demo completa nel video qui sotto.
Punti chiave
- Provision copre l’intero ciclo di vita dei dispositivi: Tanium Provision gestisce ogni aspetto, dall’installazione di un sistema operativo e dall’integrazione di un dispositivo in Active Directory o Entra ID, alla distribuzione automatica dell’ Tanium, all’applicazione di criteri quali BitLocker, fino alla gestione del ritiro dei dispositivi, compresa la cancellazione e la rimozione dei dati.
- Due modalità supportate per la registrazione in Entra ID: Tanium Provision supporta due metodi per la registrazione dei dispositivi Windows in Entra ID e Intune: Windows Configuration Designer (WCD), che genera un pacchetto di provisioning (PPKG), e l’approccio basato su file di configurazione Autopilot, ciascuno con comportamenti e compromessi distinti.
“L’approccio Autopilot non installa il client Tanium e non esegue gli script personalizzati che è possibile utilizzare come parte del proprio pacchetto.”Tanium Rob Broughall, architetto di domini
- L'approccio WCD prevede la registrazione del dispositivo prima del primo accesso: Il PPKG creato dal Configuration Designer di Windows contiene un token di registrazione in blocco valido per un massimo di sei mesi; il dispositivo è già registrato in Entra ID e Intune, e l'agente Tanium è già installato, prima che qualsiasi utente effettui il primo accesso.
- La registrazione ad Autopilot avviene al primo accesso: Con l’approccio Autopilot, il dispositivo non risulta presente in Entra ID né in Intune fino a quando l’utente non inserisce le credenziali al primo accesso; il client Tanium deve quindi essere distribuito tramite Intune, e gli script personalizzati non vengono eseguiti come parte della build.
- Gestione dei token vs. assenza di scadenza: Il pacchetto di provisioning WCD scade dopo sei mesi e deve essere rigenerato e ricaricato nel bundle; il file Autopilot JSON non contiene token né credenziali e non ha scadenza, sebbene debba comunque essere gestito in modo responsabile.
“Devo ammettere che, nelle conversazioni che ho avuto con clienti e potenziali clienti proprio su questo argomento, tendono ad apprezzare l’approccio del Configuration Designer di Windows , poiché viene effettivamente percepito come una semplificazione, dato che non si è vincolati alla registrazione del dispositivo da parte dell’utente finale. Ciò aggiunge un livello di complessità che il token WCD elimina.”Tanium Rob Broughall, architetto di domini
- La scelta del modello dipende dal caso d’uso: L’approccio WCD è particolarmente indicato per i dispositivi virtuali e per scenari quali i terminali dei punti vendita al dettaglio, in cui è fondamentale che il dispositivo sia completamente registrato e gestito prima del primo accesso; l’approccio Autopilot può risultare più appropriato per le implementazioni basate su Internet o per i dispositivi aziendali, in cui è accettabile la fase di inserimento delle credenziali da parte dell’utente.
“Se si considera il ‘time to value’ in termini di tempo necessario dall’avvio del processo al momento in cui l’utente finale dispone di un dispositivo utilizzabile, questo rappresenta probabilmente un argomento davvero forte a favore dell’adozione dell’approccio basato sui token di Configuration Designer.”Tanium Rob Broughall, architetto di domini
- Risoluzione dei problemi relativi agli errori di configurazione più comuni: Tra i problemi principali da tenere in considerazione figurano una struttura errata del file .zip durante la creazione di pacchetti di script personalizzati (il comando Provision richiede che i file si trovino nella directory principale del file .zip, non all’interno di una sottocartella), il caricamento del file Autopilot JSON direttamente nel pacchetto anziché comprimerlo in un file .zip e la verifica del log PE Provision nella directory dei log del client Tanium per individuare eventuali errori di importazione PPKG e codici di uscita.
Risorse aggiuntive
- Tanium Connettore per Microsoft Intune: integra i dispositivi mobili gestiti d Intune in Tanium , garantendo visibilità e interventi unificati.
- Tanium Connettore per Microsoft Entra ID: consente l’accesso condizionale Zero Trust grazie alle informazioni in tempo reale sull’ endpoint e fornite da Tanium.
- Creazione di immagini e distribuzione degli endpoint Windows e Linux con Tanium Provision: Scoprite come le organizzazioni possono utilizzare Tanium Provision per automatizzare la distribuzione del sistema operativo e la creazione di immagini endpoint in tutto il proprio ambiente.
- Come integrare Tanium con Microsoft Intune (Tech Talks di Tanium #145): guardi il Product Manager di Tanium , Tim Mintner, mentre illustra come il connettore Tanium per Microsoft Intune consenta di integrare dispositivi mobili e altri endpoint non client nella console di Tanium come entità native.
