Perché servono raggruppamenti dinamici

In Microsoft Intune ogni assegnazione (policy di compliance, profili di configurazione, app, script) punta a un gruppo di sicurezza di Microsoft Entra ID. Popolare questi gruppi a mano non scala: con migliaia di device e utenti servono meccanismi che valutino gli attributi in automatico. Entra ID offre i dynamic groups, mentre Intune aggiunge gli assignment filters valutati a runtime. Un endpoint administrator deve sapere quale dei due usare, e soprattutto quando combinarli.

Sintassi delle dynamic membership rule

Un gruppo dinamico può essere di tipo user oppure device, mai misto. La regola è un’espressione booleana valutata sugli attributi dell’oggetto.

Regole utente – usano il prefisso user.:

(user.department -eq "Sales") and (user.accountEnabled -eq true)

Regole device – usano il prefisso device.. Casi tipici per l’endpoint management:

  • Raggruppare per sistema operativo: (device.deviceOSType -eq "Windows")
  • Raggruppare per modello hardware: (device.deviceModel -eq "Surface Pro 9")
  • Raggruppare per versione OS: (device.deviceOSVersion -startsWith "10.0.22631")

Per l’Autopilot group tag l’attributo non è dedicato: il group tag viene scritto in devicePhysicalIds con il prefisso [OrderID]. La regola corretta usa l’operatore -any su una collezione:

(device.devicePhysicalIds -any (_ -eq "[OrderID]:CorpLaptops"))

Questo è un classico d’esame: chi cerca un attributo tipo device.groupTag sbaglia, perché quel valore vive dentro devicePhysicalIds. Operatori supportati includono -eq, -ne, -startsWith, -contains, -match e -any/-all per gli attributi multivalore.

Assignment filters valutati a runtime

Gli assignment filters sono un costrutto Intune, non di Entra. Definiscono una regola su proprietà del device (o dell’app) e vengono valutati nel momento in cui la policy viene assegnata, decidendo se un device incluso in un gruppo riceve o meno il payload:

(device.osVersion -startsWith "10.0.22") and (device.manufacturer -eq "Microsoft")

In fase di assegnazione scegli il gruppo target e poi applichi il filtro in modalità include (applica solo ai device che matchano) o exclude (applica a tutti tranne quelli che matchano). Il filtro non crea un nuovo gruppo: rifinisce un target esistente.

Quando preferire un filtro a un gruppo dinamico

La regola pratica: usa il dynamic group quando l’insieme di oggetti deve essere riutilizzabile come identità (per licenze, Conditional Access, molte assegnazioni). Usa il filter quando devi solo restringere una singola assegnazione senza generare l’ennesimo gruppo.

Scenario tipico: assegni una policy a “Tutti i device Windows” e vuoi escludere i chioschi. Creare un secondo gruppo dinamico “chioschi” da usare come esclusione moltiplica gli oggetti. Un exclude filter su device.deviceCategory -eq "Kiosk" risolve senza aggiungere gruppi, contrastando la proliferazione di gruppi. I filtri riducono anche il rischio di regole di membership contraddittorie sparse su decine di gruppi.

Latenza vs valutazione immediata

La differenza operativa più importante:

  • I dynamic groups hanno latenza di popolamento. Quando un device cambia attributo (o si iscrive), Entra rivaluta la membership in modo asincrono: possono passare minuti e, su tenant grandi, molto di più. Fino ad allora il device non è nel gruppo e non riceve le policy.
  • Gli assignment filters valutano gli attributi al momento dell’assegnazione, in tempo reale, senza attendere il ricalcolo di alcun gruppo e senza creare oggetti aggiuntivi.

Per gli scenari Autopilot questo è decisivo: se il provisioning dipende da un gruppo dinamico basato sul group tag, la latenza di membership può rallentare o bloccare l’ESP (Enrollment Status Page). Molti team usano gruppi dinamici per il targeting di base e filtri per il fine-tuning immediato.

Trappole tipiche d’esame

  • Scenario: vuoi targetizzare i device Autopilot con group tag “Finance”. → Usa device.devicePhysicalIds -any (_ -eq "[OrderID]:Finance"), non un inesistente device.groupTag.
  • Scenario: una policy va a tutti i Windows ma devi escludere i tablet condivisi senza creare nuovi gruppi. → Applica un assignment filter in modalità exclude, non un secondo gruppo dinamico di esclusione.
  • Scenario: dopo aver cambiato un attributo, il device non riceve subito la configurazione. → Causa probabile è la latenza di popolamento del gruppo dinamico; un filtro avrebbe valutato l’attributo immediatamente.
  • Scenario: devi raggruppare utenti e device nello stesso oggetto. → Impossibile: un gruppo dinamico è o user o device, mai entrambi.
  • Scenario: troppi gruppi di include/exclude rendono ingestibile il targeting. → Consolida usando assignment filters riutilizzabili sui gruppi esistenti per contenere la proliferazione.