Configure OneDrive Known Folder Move with Microsoft Intune

Simone Termine

Introduzione

Quando un utente salva un documento sul Desktop o nella cartella Documenti di Windows, si aspetta di ritrovarlo anche quando cambia computer. Ma se il file è rimasto soltanto sul disco locale, un guasto, una reinstallazione o la perdita del dispositivo possono complicarne il recupero. OneDrive Known Folder Move ci aiuta a gestire proprio questo scenario.

Known Folder Move (KFM) è la funzionalità del client di sincronizzazione OneDrive che permette di reindirizzare alcune cartelle note di Windows verso OneDrive dell’organizzazione. L’utente continua a lavorare con le cartelle che conosce, mentre i relativi contenuti vengono sincronizzati con Microsoft 365. In particolare, le policy amministrative trattate in questa guida riguardano Desktop, Documents e Pictures (Desktop, Documenti e Immagini). Eventuali sottocartelle, come Screenshot, rientrano nella sincronizzazione quando sono contenute nelle cartelle protette.

Con Microsoft Intune possiamo configurare OneDrive sui dispositivi aziendali senza intervenire manualmente su ogni dispositivo. Vedremo come abilitare l’accesso con l’identità aziendale, spostare in modo silenzioso le cartelle supportate e, se necessario, impedire agli utenti di disattivare KFM. Utilizzeremo il Settings Catalog, controlleremo il risultato sul dispositivo e affronteremo anche i casi in cui è già presente una Folder Redirection tradizionale. Il laboratorio di questa guida si basa su Windows 11; le impostazioni OneDrive si applicano anche a scenari Windows 10 ancora gestiti (nel rispetto del relativo ciclo di supporto).

Prima di iniziare, faccio una premessa: KFM non esegue il backup dell’intero profilo Windows. I file fuori dalle cartelle protette, le applicazioni installate, le relative configurazioni e i contenuti non ancora sincronizzati richiedono altre soluzioni. Tenete presente anche che OneDrive sincronizza modifiche ed eliminazioni: KFM, quindi, non sostituisce un backup con regole di conservazione e ripristino dedicate.

Come funziona OneDrive Known Folder Move

In un profilo Windows senza KFM, il Desktop dell’utente si trova normalmente sotto %USERPROFILE%\Desktop. Quando abilitiamo KFM, Windows reindirizza il percorso della cartella nota all’interno di OneDrive aziendale. In Esplora file l’utente continua a vedere Desktop, Documenti e Immagini come prima; le applicazioni che utilizzano correttamente le cartelle note di Windows raggiungono i nuovi percorsi.

Il reindirizzamento interessa sia i file già presenti nelle cartelle supportate sia quelli salvati in seguito. Per trovarli anche nel cloud, però, OneDrive deve completare la sincronizzazione. Dobbiamo quindi controllare spazio disponibile, connessione, autenticazione ed eventuali errori sui file. Vedere una cartella nel percorso OneDrive non significa che tutti i suoi contenuti siano già online.

Con OneDrive Files On-Demand possiamo vedere i file in Esplora file senza scaricarli tutti sul dispositivo. Quelli disponibili soltanto online richiedono una connessione quando li apriamo; i file contrassegnati con Always keep on this device rimangono invece anche in locale. È una funzione utile per gestire lo spazio, ma non cambia le cartelle coinvolte da KFM.

C’è anche una novità da distinguere da KFM: la nuova esperienza dell’app Foto di Windows 11 annunciata da Microsoft il 15 ottobre 2026. Permette di consultare e organizzare immagini presenti sul pc e su OneDrive, ma non modifica le policy KFM e non attiva la protezione di Desktop, Documenti e Immagini. Per quella configurazione dobbiamo continuare a utilizzare le impostazioni OneDrive descritte qui.

Prerequisiti e preparazione del laboratorio

Per il laboratorio useremo un dispositivo Windows 11 gestito da Intune, un utente aziendale con OneDrive per il lavoro o la scuola, spazio cloud sufficiente e il client OneDrive.exe aggiornato. Il dispositivo deve inoltre raggiungere i servizi Microsoft 365 utilizzati per l’autenticazione e la sincronizzazione.

Verifichiamo anche il tipo di join: la policy per l’accesso silenzioso è documentata per i dispositivi Microsoft Entra joined. Se lavoriamo con dispositivi Microsoft Entra hybrid joined, controlliamo il Single Sign-On nel nostro ambiente prima di estendere la distribuzione. Non diamo per scontato che il comportamento sia identico a quello di un pc cloud joined.

Per creare e assegnare il profilo serve un account con le autorizzazioni Intune appropriate, ad esempio il ruolo predefinito Policy and Profile Manager o un ruolo personalizzato equivalente. L’utente deve invece poter accedere a OneDrive aziendale con la licenza Microsoft 365/OneDrive prevista dal proprio piano. Non serve un add-on Intune Suite specifico per KFM: utilizziamo la gestione delle impostazioni di Intune e il servizio OneDrive già licenziato.

Prima di assegnare il profilo, controlliamo questi quattro elementi:

• OneDrive avviabile e autenticato
• spazio cloud sufficiente per i file da trasferire
• assenza di policy in conflitto distribuite tramite GPO o Intune
• collocazione corrente delle cartelle note

Anche sui dispositivi Microsoft Entra joined, Conditional Access, autenticazione a più fattori e disponibilità dei token per il Single Sign-On possono richiedere l’intervento dell’utente, pur con SilentAccountConfig applicato. Per questo verifichiamo che l’utente riesca davvero ad accedere a OneDrive e distinguiamo un problema di autenticazione da un problema di KFM. Se in azienda è già stata utilizzata una Folder Redirection GPO verso una condivisione SMB, controlliamo anche dove puntano attualmente le cartelle.

Per iniziare creiamo in Microsoft Entra ID un gruppo di sicurezza chiamato ENJ-OD-KFM-Pilot e aggiungiamo alcuni dispositivi Windows 11 gestiti da Intune. Assegneremo la policy a questo gruppo per verificare il comportamento di KFM su poche postazioni prima di estendere la configurazione. In questo scenario l’assegnazione riguarda i dispositivi: le impostazioni vengono applicate al pc e OneDrive può gestire le cartelle dell’utente che vi accede, purché il client sia configurato e i prerequisiti siano soddisfatti.

Per configurare la migrazione silent ci serve anche il Tenant ID dell’organizzazione. Lo recuperiamo dalla pagina di Overview del Microsoft Entra admin center e copiamo il GUID, che inseriremo nelle impostazioni della policy OneDrive.

Creare la policy OneDrive KFM con Intune

Accediamo al Microsoft Intune admin center e apriamo Devices > Manage devices > Configuration > Create > New policy. Selezioniamo la piattaforma Windows 10 and later e il tipo di profilo Settings catalog, quindi scegliamo Create. Nella pagina Basics assegniamo il nome ENJ - OneDrive KFM - Windows - Pilot e una descrizione che chiarisca l’ambito del gruppo pilota.

Apriamo Configuration settings, selezioniamo Add settings e cerchiamo le impostazioni nella categoria OneDrive. La tabella riporta quelle che useremo nel laboratorio (nel picker potreste vedere anche il suffisso (Device)).

Per Silently move Windows known folders to OneDrive dobbiamo configurare il Tenant ID, le cartelle Desktop, Documents e Pictures e, se prevista, la notifica al termine dell’operazione. Nel picker scegliamo la voce che mostra questi campi, perché potrebbero comparire risultati simili. La policy sottostante prevede la migrazione di tutte e tre le cartelle anche se non le specifichiamo singolarmente; qui le selezioniamo in modo esplicito per mostrare con chiarezza cosa stiamo configurando.

Impedire la disattivazione della protezione

Quando il test pilota ha confermato il corretto funzionamento di KFM, possiamo aggiungere una seconda policy: Prevent users from redirecting their Windows known folders to their PC, impostata su Enabled. Il relativo valore KFMBlockOptOut impedisce all’utente di disattivare la protezione delle cartelle e di riportarle sul pc dall’interfaccia di OneDrive.

Attenzione alla policy Prevent users from moving their Windows known folders to OneDrive (KFMBlockOptIn): ha lo scopo opposto e può bloccare la migrazione che stiamo preparando. Se l’ambiente utilizza già GPO OneDrive, controlliamo che non sia attiva. Il blocco della disattivazione va introdotto solo dopo aver verificato il reindirizzamento e definito come gestire eventuali richieste di assistenza.

Assegnare il profilo e avviare il gruppo pilota

Proseguiamo nel wizard Intune, impostiamo eventuali Scope tags richiesti dall’organizzazione e, nella sezione Assignments, aggiungiamo il gruppo ENJ-OD-KFM-Pilot tra gli Included groups. Non includiamo inizialmente tutti i dispositivi aziendali. Dopo Review + create, apriamo la configurazione e verifichiamo lo stato di distribuzione nella sezione di monitoraggio della policy.

La policy arriverà al dispositivo in base ai normali tempi di check-in MDM. Lo spostamento delle cartelle, però, partirà soltanto quando il client OneDrive sarà configurato e operativo per l’utente interessato. Durante la prova facciamo quindi accedere un utente pilota, controlliamo che OneDrive abbia effettuato il login e osserviamo le cartelle, senza avviare contemporaneamente spostamenti manuali.

Verificare KFM sul dispositivo Windows

Sul dispositivo pilota iniziamo da Esplora file. Apriamo Desktop, Documenti e Immagini e controlliamo il loro percorso effettivo: con KFM attivo devono puntare all’interno della directory OneDrive aziendale. I nomi mostrati possono cambiare in base alla lingua di Windows e al nome dell’organizzazione.

Se vogliamo ripetere il controllo su più cartelle, possiamo usare questo script PowerShell nel contesto dell’utente interessato. Non richiede privilegi amministrativi, legge soltanto i percorsi e non modifica né file né registro né policy:

$oneDriveRoot = $env:OneDriveCommercial
$knownFolders = [ordered]@{
    Desktop   = [Environment]::GetFolderPath('Desktop')
    Documents = [Environment]::GetFolderPath('MyDocuments')
    Pictures  = [Environment]::GetFolderPath('MyPictures')
}

foreach ($folder in $knownFolders.GetEnumerator()) {
    $withinOneDrive = $false
    if (-not [string]::IsNullOrWhiteSpace($oneDriveRoot)) {
        $prefix = $oneDriveRoot.TrimEnd('\') + '\'
        $withinOneDrive = $folder.Value.StartsWith(
            $prefix, [StringComparison]::OrdinalIgnoreCase
        )
    }

    [pscustomobject]@{
        Folder            = $folder.Key
        ActualPath        = $folder.Value
        OneDrivePathMatch = $withinOneDrive
    }
}

Lo script confronta i percorsi con la variabile OneDriveCommercial. Se nella sessione non è disponibile, OneDrivePathMatch può restituire False anche se KFM funziona: in quel caso controlliamo il percorso manualmente e ricordiamoci che questo risultato indica soltanto dove punta la cartella, non se tutti i file siano già stati caricati nel cloud.

Possiamo controllare anche i valori di registro delle policy aprendo PowerShell come amministratore ed eseguendo questo comando di sola lettura:

Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\OneDrive' `
    -ErrorAction SilentlyContinue |
    Select-Object SilentAccountConfig, KFMSilentOptIn, `
        KFMSilentOptInDesktop, KFMSilentOptInDocuments, `
        KFMSilentOptInPictures, KFMOptInWithWizard, `
        KFMBlockOptOut, FilesOnDemandEnabled

Controlliamo soprattutto KFMSilentOptIn, che contiene il Tenant ID, SilentAccountConfig, FilesOnDemandEnabled e, se configurato, KFMBlockOptOut. Se un valore non compare, verifichiamo prima se la relativa impostazione è stata effettivamente distribuita e quale ambito usa la policy. I nomi nel Settings Catalog, inoltre, non coincidono sempre con quelli presenti nel registro.

Infine apriamo OneDrive, verifichiamo l’assenza di errori di sincronizzazione e cerchiamo alcuni file di prova anche su OneDrive nel browser, usando l’account dell’utente. In questo modo controlliamo sia il reindirizzamento delle cartelle sia la disponibilità dei contenuti nel cloud.

Monitorare la migrazione con OneDrive Sync Health

Su pochi pc di test possiamo verificare KFM manualmente; quando i dispositivi aumentano, meglio usare anche la OneDrive sync health dashboard nel Microsoft 365 Apps admin center. La dashboard mostra informazioni sul client, sugli errori di sincronizzazione e sulle cartelle note migrate. Possiamo quindi affiancarla ai report Intune per seguire l’avanzamento della distribuzione.

Per ricevere i dati dobbiamo abilitare il reporting sui dispositivi. Ci servono un client OneDrive supportato (Microsoft indica la versione 22.232 o successiva), l’accesso a https://clients.config.office.net, le autorizzazioni amministrative previste e la policy Enable sync health reporting for OneDrive. Per configurare la dashboard possiamo utilizzare, ad esempio, il ruolo Office Apps Administrator; altri ruoli, come Global Reader e Reports Reader, possono consultarla dopo l’attivazione.

Apriamo Setup nel Microsoft 365 Apps admin center e recuperiamo o generiamo la Tenant Association Key (che è diversa dal Tenant ID usato per KFM). Attenziona ad una cosa: nei cloud Office 365 GCC, GCC High e DoD questa chiave non è richiesta; la dashboard non è disponibile nel servizio Office 365 gestito da 21Vianet.

Una volta recuperata la Tenant Association Key dal Microsoft 365 Apps admin center, torniamo nel Microsoft Intune admin center per configurare i dispositivi che dovranno inviare i dati alla dashboard OneDrive Sync Health.

Apriamo Devices > Manage devices > Configuration > Create > New policy, selezioniamo Windows 10 and later come piattaforma e Settings catalog come tipo di profilo. Nella sezione Basics assegniamo un nome riconoscibile, ad esempio ENJ - OneDrive Sync Health - Windows, e proseguiamo con Next.

Nella pagina Configuration settings selezioniamo Add settings, apriamo la categoria OneDrive e cerchiamo Enable sync health reporting for OneDrive. Nel Settings picker selezioniamo anche l’impostazione Sync Admin Reports e, nel relativo campo, inseriamo la Tenant Association Key recuperata in precedenza. In questo modo abilitiamo la raccolta delle informazioni sullo stato della sincronizzazione e associamo i report alla nostra organizzazione.

Completiamo la configurazione con gli eventuali Scope tags e, nella sezione Assignments, assegniamo il profilo al gruppo di dispositivi che vogliamo monitorare. Per iniziare possiamo utilizzare lo stesso gruppo pilota scelto per KFM. Dopo Review + create, controlliamo lo stato di distribuzione del profilo direttamente da Intune.

Check sul device

Sul dispositivo possiamo verificare l’applicazione della policy controllando il valore EnableSyncAdminReports nel percorso HKLM\SOFTWARE\Policies\Microsoft\OneDrive. Il valore DWORD deve essere impostato a 1. Attenzione al nome: il precedente valore SyncAdminReports non è più supportato per la raccolta dei dati. Nel Settings Catalog troviamo ancora un campo chiamato Sync Admin Reports, ma questo non va confuso con il vecchio valore di registro.

Microsoft 365 Apps admin center

A questo punto torniamo nel Microsoft 365 Apps admin center e apriamo Health > OneDrive Sync. La dashboard mette a disposizione diverse viste:

• Overview: mostra un riepilogo dello stato della sincronizzazione, dei dispositivi con errori, delle versioni del client OneDrive e dell’adozione di Known Folder Move.
• Devices: permette di controllare i singoli dispositivi, le cartelle note reindirizzate, la versione di OneDrive e gli ultimi aggiornamenti dello stato di sincronizzazione.
• Issues: raccoglie gli errori rilevati e ci aiuta a identificare eventuali problemi comuni a più dispositivi.

Abbiamo quindi due profili Intune con finalità diverse: il primo configura Known Folder Move, mentre il secondo abilita la raccolta dei dati per monitorarne il funzionamento. Ricordiamoci comunque che i report non sono in tempo reale: per verificare il caricamento di un singolo file continuiamo a utilizzare il client OneDrive e OneDrive sul Web.

Passare da Folder Redirection GPO a OneDrive KFM

Se Desktop, Documenti o Immagini sono già reindirizzati tramite una Windows Folder Redirection GPO, non basta distribuire KFM per completare la migrazione. La procedura dipende da dove si trovano oggi le cartelle. I diversi scenari di transizione sono disponibili nella documentazione ufficiale.

Se partiamo da un file server, usiamo Migration Manager per copiare i documenti nelle corrispondenti cartelle dell’utente su OneDrive. Quando è Migration Manager a creare Desktop, Documents o Pictures, Microsoft specifica di non selezionare Preserve file share permissions. Prima di modificare la vecchia GPO proviamo tutta la sequenza su un gruppo pilota: una scelta errata nella gestione dei contenuti può provocare spostamenti inattesi.

Se le cartelle sono già in OneDrive di un’altra organizzazione, serve un’ ulteriore valutazione: passando infatti a un nuovo tenant, possono comparire cartelle inizialmente vuote e i dati presenti nel tenant precedente devono essere migrati con una procedura dedicata (KFM da solo non esegue una migrazione tra tenant).

Troubleshooting

In questa sezione vediamo quali possono essere i principali errori che potremmo incontrare.

• La policy Intune è Succeeded, ma le cartelle rimangono locali: per prima cosa controlliamo che OneDrive sia avviato e autenticato con l’utente corretto. Verifichiamo poi il Tenant ID, eventuali GPO in conflitto e la posizione attuale delle cartelle. Se puntano a un file server, dobbiamo seguire la procedura di transizione descritta sopra. Controlliamo anche la GPO Prohibit User from manually redirecting Profile Folders, che secondo Microsoft può impedire il reindirizzamento.
  
• OneDrive richiede il login o il Silent Sign-In non funziona: la presenza di SilentAccountConfig non garantisce che OneDrive riesca ad autenticarsi senza interventi. Verifichiamo il join Microsoft Entra, il Single Sign-On, eventuali richieste di Conditional Access e la connettività. Eseguendo dsregcmd /status nel contesto dell’utente possiamo controllare, tra le altre cose, lo stato del Primary Refresh Token (AzureAdPrt). Il comando non verifica la sincronizzazione OneDrive: prima di intervenire su KFM assicuriamoci che l’utente riesca ad accedere al client.
  
• Alcuni file non si sincronizzano: apriamo OneDrive e leggiamo gli errori segnalati: caratteri non consentiti, nomi o percorsi troppo lunghi, file bloccati, molti elementi da sincronizzare, esclusioni definite dalle policy, quota insufficiente o problemi di rete. Microsoft raccomanda, per le prestazioni, di restare entro 300.000 elementi sincronizzati. È una raccomandazione, non un limite massimo assoluto del servizio. Controlliamo anche se nelle cartelle da spostare sono presenti file Outlook .pst ancora utilizzati. Possono rimanere bloccati mentre Outlook è aperto e lo spostamento può interrompere il collegamento al percorso originale. Gestiamo quindi gli eventuali PST attivi con una procedura separata, prima di avviare KFM. Evitiamo di eliminare file locali o reimpostare OneDrive senza aver verificato la copia online. Per i limiti aggiornati consultiamo la documentazione Microsoft sulle restrizioni di OneDrive e SharePoint.
  
• Il profilo è distribuito, ma il dispositivo non compare in Sync Health: controlliamo EnableSyncAdminReports, Tenant Association Key, versione del client e accesso a https://clients.config.office.net. Assicuriamoci anche che OneDrive sia autenticato e che il pc rimanga acceso abbastanza a lungo: Microsoft indica almeno cinque ore come requisito di eleggibilità per il report, mentre la dashboard può impiegare fino a tre giorni per mostrare un dispositivo.
  
• L’utente non può interrompere la protezione delle cartelle: se abbiamo abilitato Prevent users from redirecting their Windows known folders to their PC, è normale poiché è il comportamento previsto da questa policy. Per gestire un’eccezione, interveniamo centralmente valutando prima i file sincronizzati e gli effetti di un’eventuale disattivazione.

Distribuzione in produzione

Terminato il pilota, possiamo estendere KFM agli altri dispositivi aziendali, procedendo per gruppi e controllando preventivamente numero e dimensione dei file da trasferire. Per la migrazione silenziosa sui dispositivi esistenti, Microsoft raccomanda di non superare 1.000 dispositivi al giorno e 4.000 alla settimana complessivi tra Windows e macOS. Si tratta di una raccomandazione per pianificare il rollout, non di un limite imposto da Intune. Se il primo caricamento è particolarmente voluminoso, possiamo anche limitare temporaneamente la banda di upload tramite le policy OneDrive e monitorare l’impatto sulla rete.

Per gestire questa distribuzione graduale possiamo utilizzare anche Microsoft Intune Deployments e Deployment Plans, disponibili in Public Preview. Queste funzionalità permettono di organizzare il rollout delle policy Settings Catalog attraverso diversi ring, definendo i gruppi di dispositivi coinvolti e gli intervalli tra una fase e la successiva.

Il funzionamento è abbastanza semplice: un Deployment Plan definisce il modello di distribuzione, mentre il Deployment lo applica alla policy KFM che abbiamo già creato. Da Devices > Manage devices > Deployments possiamo creare un Deployment, selezionare Device configuration come tipo di payload, scegliere la nostra policy OneDrive KFM e configurare i ring direttamente oppure caricare un Deployment Plan esistente.

Se la policy è già assegnata al gruppo pilota, possiamo mantenere quell’assegnazione e utilizzare i ring per i gruppi successivi, evitando di inserire lo stesso gruppo sia negli assignment esistenti sia nel Deployment. Ricordiamoci che Deployments non sostituisce gli assignment di Intune: aggiunge progressivamente i gruppi alla policy quando viene attivato ciascun ring.

La progressione dipende dalle tempistiche configurate, quindi non aspetta automaticamente che KFM abbia completato la sincronizzazione. Dobbiamo dimensionare correttamente i gruppi e controllare lo stato dei dispositivi prima di procedere. Possiamo sospendere o annullare un Deployment, ma gli assignment dei ring già attivati rimangono sulla policy. Se vogliamo orchestrare anche il profilo OneDrive Sync Health, dovremo utilizzare un Deployment separato.

Per approfondire questa funzionalità, trovate una guida dedicata su Endpoint Ninja: Microsoft Intune: Deployments & Deployment Plans.

Ripristino su un nuovo dispositivo

Quando sostituiamo un pc o ne prepariamo uno nuovo con Windows Autopilot, l’utente può ritrovare nelle cartelle protette i file già sincronizzati in OneDrive. Sul nuovo dispositivo devono però arrivare le impostazioni KFM e il client deve configurarsi correttamente. I tempi dipendono dalla connessione e dai contenuti da rendere disponibili. KFM non reinstalla le applicazioni Win32 e non ripristina l’intero profilo Windows: per queste attività servono le funzionalità di distribuzione e ripristino appropriate.

Per approfondire il provisioning potete leggere anche la guida Endpoint Ninja su Windows Autopilot Device Association. L’associazione del dispositivo al tenant resta distinta dal recupero dei file tramite OneDrive.

Conclusioni

Con OneDrive Known Folder Move portiamo Desktop, Documenti e Immagini nella sincronizzazione aziendale, lasciando agli utenti le cartelle a cui sono già abituati. Tramite Intune possiamo configurare l’accesso a OneDrive, distribuire il reindirizzamento e gestire la protezione sui dispositivi Windows.

Per capire se KFM funziona, controlliamo i tre risultati fondamentali:

• la policy ricevuta dal dispositivo
• il nuovo percorso delle cartelle
• e la sincronizzazione completata sul client OneDrive

Se partiamo da una Folder Redirection GPO o da grandi quantità di file, dedichiamo tempo alla migrazione pilota. Infine, con OneDrive Sync Health possiamo poi seguire il rollout e individuare i dispositivi che richiedono un intervento specifico se necessario.