Microsoft introduce finalmente Protezione amministratore in Windows 11

Microsoft sta preparando la disponibilità generale di Protezione amministratore, una funzione di Windows 11 progettata per ridurre l’esposizione ai privilegi amministrativi. L’annuncio arriva dopo una fase di test che ha permesso di definire il comportamento della tecnologia e i relativi strumenti di gestione.

La caratteristica introduce un modello nel quale l’utente opera normalmente senza diritti elevati e ottiene un’autorizzazione amministrativa soltanto quando un’operazione ne ha effettivamente bisogno. Microsoft aveva presentato il progetto nel 2024; la documentazione attuale conferma l’arrivo sulle edizioni client supportate, pur mantenendo alcune restrizioni per determinati ambienti. Il principio tecnico alla base è il least privilege: diminuire la disponibilità permanente delle autorizzazioni che un software compromesso potrebbe sfruttare.

Come funziona la nuova protezione amministrativa

Protezione amministratore separa l’uso quotidiano dell’account dalla disponibilità dei diritti elevati. Durante la normale sessione Windows utilizza un token senza privilegi amministrativi; quando un’applicazione deve modificare componenti che richiedono autorizzazioni superiori, l’utente deve autorizzare l’operazione attraverso Windows Hello. Il sistema crea quindi un token amministrativo temporaneo associato al processo che ha richiesto l’elevazione.

Microsoft utilizza per questa procedura un account amministrativo nascosto, generato e gestito dal sistema, con un profilo distinto da quello dell’utente. Il token privilegiato non resta disponibile al termine dell’azione autorizzata: per una nuova richiesta occorre ottenere nuovamente l’elevazione. La separazione riduce quindi la possibilità che un processo già attivo con autorizzazioni normali possa recuperare automaticamente un’identità amministrativa precedente.

La differenza rispetto al normale User Account Control riguarda proprio la durata dell’accesso privilegiato. Protezione amministratore non aggiunge soltanto una conferma davanti a un’azione sensibile, ma modifica il modo in cui Windows tratta l’identità amministrativa durante la sessione. L’autorizzazione diventa una risorsa temporanea legata all’operazione che deve essere eseguita, anziché una caratteristica costantemente disponibile all’utente.

Per chi gestisce PC aziendali, l’aspetto rilevante è la possibilità di amministrare la funzione centralmente. Microsoft prevede la configurazione attraverso Microsoft Intune, Criteri di gruppo e Configuration Service Provider, oltre alle impostazioni locali di Sicurezza di Windows nelle configurazioni che espongono il relativo controllo. L’attivazione richiede il riavvio del dispositivo.

Compatibilità e controllo delle elevazioni

La documentazione Microsoft indica la disponibilità per Windows 11 Home, Pro, Enterprise ed Education. La distribuzione avviene gradualmente e l’azienda non considera ancora tutti gli scenari equivalenti: Windows 365 Cloud PC e gli host Azure Virtual Desktop risultano esclusi dalla disponibilità corrente, mentre il supporto per questi ambienti e per Windows Server è previsto in una fase successiva.

La compatibilità applicativa merita attenzione prima di una distribuzione estesa. Un programma progettato assumendo la presenza continuativa di un profilo amministrativo potrebbe richiedere verifiche o modifiche. La stessa Microsoft raccomanda quindi di valutare il comportamento delle applicazioni prima di applicare la protezione a intere organizzazioni.