Quando il settings catalog e i template di configurazione integrati non espongono un’impostazione, l’endpoint administrator deve saper scendere di livello e agire direttamente sui Configuration Service Provider (CSP) del sistema operativo. Questa unità copre tre scenari avanzati di Microsoft Intune: i custom profile OMA-URI, la modalità kiosk (single-app e multi-app) e Microsoft Tunnel come VPN gateway verso le risorse on-prem.

Custom profile OMA-URI

Un profilo Custom (OMA-URI) consente di indirizzare un nodo CSP specifico tramite il suo percorso Open Mobile Alliance Uniform Resource Identifier, per esempio ./Device/Vendor/MSFT/Policy/Config/.... Ogni riga richiede quattro elementi: OMA-URI path, data type (String, Integer, Boolean, Base64, ecc.), valore e, per i payload complessi, l’XML del CSP.

Il punto chiave a livello ASSOCIATE è decidere quando usare OMA-URI:

  • Usalo solo se l’impostazione non è disponibile nel settings catalog o nei profili dedicati (Device restrictions, Endpoint protection, ADMX templates).
  • Tipici casi legittimi: nodi CSP nuovi non ancora esposti nella UI, impostazioni Device vs User scope specifiche, valori che accettano solo XML custom (es. AssignedAccess, EnterpriseModernAppManagement).

Attenzione al contesto: ./Device/... applica a livello macchina, ./User/... all’utente. Sbagliare scope è la causa più frequente di profili “applicati ma senza effetto”.

Kiosk: single-app e multi-app

La modalità kiosk trasforma un dispositivo Windows in una postazione bloccata. Intune offre un profilo Kiosk dedicato, che sotto il cofano scrive sull’AssignedAccess CSP.

Single-app kiosk

Il dispositivo esegue una sola app a schermo intero, con auto-logon di un account locale generato automaticamente. È l’opzione per chioschi informativi, digital signage o terminali dedicati. Puoi scegliere una UWP app (per AUMID) o Microsoft Edge in modalità kiosk (public browsing / digital signage).

Multi-app kiosk

Presenta uno Start menu limitato con più app consentite (UWP e/o Win32 per path), regole su taskbar, accesso a impostazioni e configurazione della lingua. È la scelta quando l’operatore usa più applicazioni ma il resto del sistema deve restare inaccessibile.

Per scenari fuori standard (es. layout XML personalizzato dell’AssignedAccess) si torna a un custom OMA-URI sul nodo ./Vendor/MSFT/AssignedAccess/Configuration con il payload XML. Ricorda che il kiosk multi-app richiede un account di logon (locale, Microsoft Entra ID group o utente) associato al profilo.

Microsoft Tunnel

Microsoft Tunnel è una soluzione VPN gateway che gira come container su una VM Linux (on-prem o in Azure) e permette ai dispositivi iOS/iPadOS e Android gestiti di raggiungere risorse on-premises senza esporle a Internet. Si integra con il Microsoft Defender client, che agisce da app VPN.

Elementi architetturali che l’esame verifica:

  • Server configuration: definisce IP range, DNS, porte e regole di split tunneling.
  • Site: raggruppa uno o più server e viene assegnato al gruppo di dispositivi.
  • VPN profile (tipo connessione Microsoft Tunnel): distribuito via Intune, indica il site e la modalità.
  • Conditional Access: Tunnel supporta l’integrazione con Microsoft Entra Conditional Access, così solo dispositivi conformi e utenti autenticati ottengono l’accesso.
  • Per-app VPN: puoi limitare il tunnel a app specifiche invece di instradare tutto il traffico del dispositivo, riducendo superficie e consumo.

Scegli Microsoft Tunnel quando servono accessi mobile a risorse interne con controllo dei device conformi, in alternativa a VPN di terze parti non gestite da Intune.

Trappole tipiche d’esame

  • Impostazione non presente nella UI Intune → usa un Custom OMA-URI profile, ma solo dopo aver verificato che manchi nel settings catalog: gli OMA-URI sono più fragili e difficili da diagnosticare, quindi preferisci sempre il catalog quando l’opzione esiste.
  • Un chiosco che deve eseguire una sola app a tutto schermo con login automatico → Single-app kiosk; se servono più app con Start limitato → Multi-app kiosk (Assigned Access).
  • Accesso mobile (iOS/Android) a risorse on-prem senza esporle a Internet + verifica della conformità → Microsoft Tunnel con Conditional Access, non una semplice VPN profile generica.
  • Instradare solo il traffico di determinate app nel tunnel → Per-app VPN nel profilo VPN, non full-device tunnel.
  • Profilo OMA-URI applicato ma senza effetto → controlla il data type e lo scope del path (./Device/... vs ./User/...): un tipo o un contesto errato fa fallire silenziosamente il CSP.