Windows Autopilot Device Preparation: cosa cambia per Windows 11

Per quasi dieci anni Windows Autopilot ha rappresentato il tentativo di Microsoft di eliminare una delle attività più costose nella gestione dei PC aziendali: preparare manualmente ogni macchina prima di consegnarla all’utente. Presentato nel 2017, Windows Autopilot ha spostato buona parte del provisioning nel cloud: il computer può mantenere l’immagine Windows installata dal produttore, collegarsi ai servizi Microsoft durante la configurazione iniziale e ricevere automaticamente applicazioni, criteri di sicurezza e impostazioni tramite Microsoft Intune.

A settembre 2026 Microsoft indica però un nuovo percorso preferenziale per molte installazioni: Windows Autopilot Device Preparation, una revisione profonda del modello originale pensata soprattutto per i PC Windows 11 configurati direttamente dall’utente e aggiunti a Microsoft Entra ID.

Microsoft ha modificato il modo in cui dispositivi, gruppi, applicazioni e criteri si incontrano durante la fase di enrollment. L’obiettivo dichiarato è ridurre dipendenze storiche, rendere il provisioning più prevedibile e fornire agli amministratori informazioni quasi in tempo reale sull’avanzamento della procedura.

Allo stesso tempo, Autopilot tradizionale non sparisce: resta necessario per scenari che Device Preparation ancora non gestisce, tra cui pre-provisioning, self-deploying mode, Microsoft Entra hybrid join e alcune configurazioni con Configuration Manager.

A cosa serve Windows Autopilot

Autopilot nasce per evitare il tradizionale processo di imaging del PC. In una gestione classica, l’IT prepara un’immagine Windows aziendale, la aggiorna, aggiunge driver e applicazioni, quindi la distribuisce sui computer. Autopilot sfrutta invece l’installazione Windows già presente sulla macchina e modifica la configurazione durante la Out-of-Box Experience (OOBE), cioè la procedura che compare al primo avvio del sistema operativo (fase finale dell’installazione).

Il dispositivo è riconosciuto dal servizio Autopilot, scarica un deployment profile e può entrare automaticamente in Microsoft Entra ID e Intune. Da quel momento Intune distribuisce applicazioni, policy di sicurezza, configurazioni VPN, certificati, impostazioni Defender e tutto ciò che l’organizzazione ha associato al dispositivo o all’utente.

Nel modello tradizionale, però, il computer deve comparire in anticipo nel servizio Autopilot. L’identificazione avviene spesso attraverso il cosiddetto hardware hash, un identificatore generato a partire da informazioni hardware del PC.

Gli OEM e i rivenditori possono registrare direttamente i dispositivi acquistati dall’organizzazione; nei laboratori o nei deployment manuali l’amministratore può invece esportare l’hash e importarlo in Intune.

Da lì iniziano le associazioni: deployment profile, Enrollment Status Page, gruppi Microsoft Entra, group tag, applicazioni e policy. È un sistema molto flessibile, ma con gli anni può diventare articolato, soprattutto nelle organizzazioni che hanno costruito parecchie regole dinamiche e molte varianti del processo di provisioning.

Perché Microsoft ha creato Autopilot Device Preparation

Device Preparation prova a semplificare proprio questa parte. Invece di costruire il deployment attorno a un dispositivo già registrato, Microsoft consente di avviare il provisioning quando l’utente autorizzato esegue l’accesso durante OOBE: una device preparation policy riunisce elementi che prima vivevano in oggetti separati (esperienza OOBE, naming del PC, applicazioni essenziali, script PowerShell e gruppo nel quale inserire il dispositivo).

La differenza architetturale più interessante riguarda Enrollment Time Grouping (ETG). Con Autopilot tradizionale è molto comune usare gruppi dinamici Microsoft Entra che analizzano attributi del dispositivo, per esempio i group tag, prima di assegnare configurazioni e applicazioni. L’elaborazione del gruppo può introdurre attese e dipendenze difficili da diagnosticare.

Device Preparation utilizza invece un gruppo di sicurezza statico, di tipo Assigned: Intune inserisce automaticamente il computer nel gruppo specificato nella policy. Così, il dispositivo non deve aspettare che Microsoft Entra valuti una regola dinamica per capire quali componenti ricevere.

Enrollment Status Page lascia spazio alla Device Preparation Page

Chi utilizza Autopilot conosce bene la Enrollment Status Page (ESP) (pagina dello stato di registrazione di Windows Autopilot): è la schermata mostrata durante la configurazione che impedisce all’utente di raggiungere il desktop finché alcune policy e applicazioni considerate obbligatorie non risultino installate.

Device Preparation introduce una nuova device preparation page: il principio rimane simile ma Microsoft ha ripensato l’esperienza e il sistema di reporting. L’amministratore, ad esempio, può vedere con maggiore dettaglio quali applicazioni o script hanno completato l’esecuzione, quali hanno fallito e quali sono stati saltati.

Il reporting costituisce una delle differenze più concrete: i resoconti mostrati da Autopilot tradizionale non lavorano realmente in tempo reale e riportano principalmente deployment relativi ai dispositivi registrati con Autopilot. Device Preparation offre invece informazioni quasi immediate sull’avanzamento del provisioning.

Quando non bisogna abbandonare Autopilot tradizionale

Microsoft invita a evitare migrazioni indiscriminate. Se un’organizzazione utilizza pre-provisioning, cioè prepara applicazioni e configurazioni prima di consegnare il PC all’utente, deve continuare a usare Autopilot. Lo stesso vale per self-deploying mode, molto utile per kiosk, digital signage e macchine condivise che devono configurarsi senza credenziali utente.

Autopilot resta necessario anche per Microsoft Entra hybrid join. Microsoft raccomanda ormai Microsoft Entra join per i nuovi deployment cloud-native, ma molte aziende possiedono ancora applicazioni, GPO o dipendenze da Active Directory locale che rendono difficile abbandonare rapidamente il join ibrido.

Un’altra eccezione riguarda Autopilot into co-management con Configuration Manager: al momento Device Preparation non supporta questo scenario; tentare di inserire il co-management direttamente nel nuovo flusso può provocare errori o timeout durante il provisioning.

Infine, chi deve gestire Windows 10 non ha scelta: Device Preparation riguarda Windows 11, mentre Autopilot classico continua a supportare le versioni di Windows 10 ancora ammesse dal servizio.

L’annuncio di settembre 2026 non equivale alla dismissione di Windows Autopilot che resta indispensabile per diversi deployment avanzati. La novità sta nella priorità assegnata al nuovo modello: per i PC Windows 11 aziendali, user-driven e Microsoft Entra joined, Microsoft considera ormai Device Preparation il percorso raccomandato e dichiara che gli investimenti futuri si concentreranno soprattutto qui.