Device Soft Delete in Microsoft Entra ID

Introduzione

La gestione dei dispositivi in Microsoft Entra ID è una delle aree più delicate dell’amministrazione moderna degli endpoint, soprattutto negli ambienti aziendali dove l’identità del device è collegata a servizi come Microsoft Intune, Windows Autopilot, Conditional Access, BitLocker e Windows LAPS. Un dispositivo registrato in Entra ID, infatti, non è soltanto una voce di inventario da consultare quando serve, ma rappresenta un oggetto con una propria identità, uno stato di registrazione, relazioni con utenti e criteri di accesso, riferimenti a chiavi di ripristino e informazioni operative che spesso diventano indispensabili proprio nei momenti più critici, come una reinstallazione, un incidente di sicurezza, una verifica di compliance o un’attività di troubleshooting.

Per questo motivo, l’eliminazione accidentale di un dispositivo da Microsoft Entra ID è sempre stata un’operazione da gestire con molta attenzione. Fino a oggi, cancellare un device poteva avere conseguenze difficili da recuperare, soprattutto perché per i dispositivi non era disponibile un vero meccanismo di ripristino simile a quello già previsto per altri oggetti della directory, come utenti, gruppi o applicazioni. In ambienti piccoli il problema può sembrare limitato, ma in contesti enterprise, dove le attività di pulizia vengono spesso eseguite su numeri elevati di oggetti, magari tramite script, automazioni o modifiche agli ambiti di sincronizzazione, il rischio operativo diventa molto più concreto.

Con la nuova funzionalità Device Soft Delete in Microsoft Entra ID, attualmente disponibile in preview, Microsoft introduce finalmente un livello di protezione anche per gli oggetti dispositivo. Quando un device viene eliminato, l’oggetto non viene più rimosso immediatamente in modo definitivo, ma viene spostato in uno stato recuperabile per un periodo massimo di 30 giorni, offrendo agli amministratori la possibilità di intervenire prima che la cancellazione diventi permanente. È una novità apparentemente semplice, ma molto importante per chi gestisce endpoint aziendali, perché riduce il rischio legato a cancellazioni accidentali, attività massive troppo aggressive, errori di sincronizzazione o modifiche non corrette nei processi di gestione dei dispositivi.

Che cos’è Device Soft Delete in Microsoft Entra ID

Device Soft Delete è una funzionalità di recoverability pensata per rendere meno rischiosa l’eliminazione degli oggetti dispositivo dalla directory. Quando un amministratore, o nei casi previsti il proprietario del dispositivo, elimina un device, Microsoft Entra ID non rimuove immediatamente l’oggetto in modo definitivo, ma lo sposta in un’area separata dedicata ai dispositivi eliminati temporaneamente, mantenendolo recuperabile per un periodo limitato.

Durante questa fase il dispositivo non viene più mostrato nelle normali viste operative e non può essere utilizzato come un device attivo all’interno dell’ambiente. In pratica, non può autenticarsi verso risorse cloud protette da Microsoft Entra ID e non può essere aggiornato dagli strumenti di gestione come se fosse ancora pienamente registrato, ma l’oggetto continua a esistere nella directory in uno stato sospeso. Questo consente agli amministratori di ripristinarlo entro 30 giorni, purché il tipo di dispositivo sia supportato e l’operazione venga eseguita da un ruolo con i permessi necessari.

Il valore della funzionalità non sta soltanto nella possibilità di annullare una cancellazione, ma soprattutto nella conservazione delle informazioni associate al dispositivo. Microsoft Entra ID mantiene infatti dati importanti come le BitLocker recovery keys, le password gestite tramite Windows LAPS e il materiale di identità del device, evitando che una rimozione accidentale obblighi l’IT a ricostruire completamente l’oggetto e a recuperare manualmente ciò che era collegato a quel dispositivo. In uno scenario reale, soprattutto durante un incidente, una reinstallazione o un’attività di pulizia massiva, questa differenza può trasformare un problema serio in un’attività di ripristino molto più gestibile.

Perché questa funzionalità è importante

Negli ambienti moderni, il ciclo di vita del dispositivo non vive più in un solo punto della piattaforma Microsoft, ma attraversa Microsoft Entra ID, Microsoft Intune, Windows Autopilot, Microsoft Defender, Conditional Access e diversi servizi collegati. Per questo motivo, una cancellazione errata non può essere valutata soltanto come la rimozione di una voce da un inventario, perché intorno a quell’oggetto dispositivo possono esserci informazioni di sicurezza, gestione e recupero che diventano essenziali proprio quando qualcosa non funziona.

Pensiamo, ad esempio, a una postazione aziendale gestita con Intune, cifrata con BitLocker e con la password amministrativa locale gestita tramite Windows LAPS. Se quel dispositivo viene eliminato per errore da Microsoft Entra ID, il problema non è semplicemente farlo ricomparire in elenco, ma evitare di perdere riferimenti che potrebbero servire per sbloccare il disco, accedere localmente in modo controllato, verificare lo stato del device o ripristinarlo senza dover ricostruire tutto da zero. In uno scenario di troubleshooting, reinstallazione o incidente di sicurezza, avere ancora accesso a queste informazioni può fare una differenza concreta nei tempi di intervento e nella qualità del ripristino.

Device Soft Delete introduce quindi una protezione importante contro una classe di errori abbastanza comune negli ambienti enterprise: la pulizia manuale o automatizzata dei dispositivi considerati obsoleti. Molte aziende hanno procedure per rimuovere device inattivi, duplicati o non più in uso, spesso tramite script PowerShell, automazioni o chiamate a Microsoft Graph, e queste attività sono utili quando vengono progettate bene, ma possono diventare rischiose se una condizione è troppo generica, una query non è sufficientemente precisa o una modifica organizzativa cambia improvvisamente il perimetro dei dispositivi coinvolti.

Come funziona il soft delete dei dispositivi

Quando un dispositivo viene eliminato, Microsoft Entra ID avvia una sequenza di de-registrazione tramite Azure Device Registration Service, durante la quale vengono invalidati i refresh token di autenticazione del device e l’oggetto viene spostato nel contenitore dedicato ai dispositivi eliminati. Da quel momento il dispositivo non viene più considerato attivo dal punto di vista operativo, anche se continua a esistere nella directory in uno stato recuperabile per il periodo previsto dal soft delete.

In questa fase il device non può più autenticarsi, non può accedere alle risorse cloud protette da Microsoft Entra ID, non può essere modificato dagli strumenti di gestione e non compare più nelle normali viste dei dispositivi. Anche le query Microsoft Graph rivolte agli oggetti attivi non restituiscono più quel dispositivo, perché l’oggetto è stato rimosso dall’elenco principale e spostato in un’area separata, pensata proprio per consentire un eventuale ripristino entro la finestra di recupero.

Un dettaglio importante riguarda il DeviceId, che resta comunque riservato finché l’oggetto si trova nello stato soft-deleted. Questo significa che un nuovo dispositivo non può registrarsi utilizzando lo stesso DeviceId fino a quando l’oggetto eliminato temporaneamente non viene ripristinato o cancellato in modo definitivo. È un comportamento utile perché evita collisioni, duplicazioni indesiderate e scenari ambigui, soprattutto quando un dispositivo viene reinstallato, ripristinato o risincronizzato dopo un’attività amministrativa non corretta.

Ruoli necessari per eliminare e ripristinare i dispositivi

Device Soft Delete non è una funzionalità utilizzabile da qualunque amministratore, perché Microsoft limita le operazioni principali a ruoli specifici. È una scelta comprensibile, visto che eliminare, ripristinare o cancellare definitivamente un oggetto dispositivo può avere un impatto diretto sulla gestione dell’identità del device, sulle informazioni associate e sui processi di sicurezza collegati.

I ruoli Cloud Device Administrator, Intune Administrator e Global Administrator possono eliminare dispositivi, ripristinare device soft-deleted ed eseguire l’eliminazione permanente dal contenitore dei dispositivi eliminati. Il proprietario del dispositivo può invece eliminare il proprio device, ma non può ripristinarlo né procedere con la cancellazione definitiva, proprio perché queste operazioni richiedono privilegi amministrativi più elevati e devono rimanere sotto il controllo dell’IT.

Un aspetto da considerare è che, al momento, non sono disponibili ruoli custom dedicati esclusivamente alle operazioni di soft delete o restore dei dispositivi. Questo può rappresentare un limite negli ambienti dove si cerca di applicare un modello di amministrazione più granulare e basato sul privilegio minimo, perché la delega del ripristino dei dispositivi eliminati deve necessariamente passare da uno dei ruoli supportati. In pratica, non è ancora possibile creare un ruolo personalizzato che consenta solo il recupero dei device soft-deleted senza assegnare permessi più ampi.

Quali dispositivi sono supportati

Durante la preview, Device Soft Delete in Microsoft Entra ID supporta le principali categorie di dispositivi gestiti o registrati nella directory, quindi Microsoft Entra joined, Microsoft Entra hybrid joined e Microsoft Entra registered. Si tratta delle tre casistiche più comuni negli ambienti aziendali, perché coprono sia i dispositivi cloud-native uniti direttamente a Microsoft Entra ID e spesso gestiti tramite Microsoft Intune, sia i dispositivi ancora collegati ad Active Directory on-premises ma registrati anche in Entra ID, sia gli scenari personali o BYOD in cui l’utente aggiunge al dispositivo un account aziendale o scolastico.

Questo perimetro è abbastanza ampio e rende la funzionalità utile nella maggior parte degli ambienti moderni, soprattutto dove convivono dispositivi gestiti da Intune, postazioni ibride, PC personali registrati per l’accesso alle risorse aziendali e scenari di transizione tra gestione tradizionale e cloud management. Proprio per questo, Device Soft Delete può diventare una protezione importante non solo nei tenant completamente cloud-native, ma anche nelle aziende che hanno ancora una componente Active Directory on-premises e stanno portando gradualmente la gestione dei dispositivi verso Microsoft Entra ID e Microsoft Intune.

Questo però non significa che qualsiasi oggetto dispositivo presente in Entra ID sia automaticamente protetto dal soft delete. Microsoft esclude dal perimetro i dispositivi senza un trust type riconosciuto, come ad esempio alcuni oggetti creati direttamente tramite Microsoft Graph API, che possono quindi essere eliminati subito in modo permanente. Lo stesso vale per alcune tipologie più specialistiche, tra cui secure VM con managed identity, ambienti VDI non persistenti e stampanti, che non devono essere considerate recuperabili con lo stesso meccanismo previsto per i dispositivi Entra joined, hybrid joined o registered.

Cosa viene conservato durante il soft delete

Uno degli aspetti più interessanti di Device Soft Delete riguarda le informazioni che vengono conservate insieme all’oggetto dispositivo durante la finestra di recupero. Quando un device viene spostato nello stato soft-deleted, Microsoft Entra ID non mantiene soltanto un riferimento generico all’oggetto eliminato, ma preserva anche una serie di dati critici collegati all’identità e alla gestione del dispositivo, rendendo il ripristino molto più utile rispetto a una semplice ricreazione manuale.

Tra le informazioni più importanti ci sono le BitLocker recovery keys archiviate con il device, che vengono preservate durante la finestra di soft delete e continuano a essere disponibili dopo il ripristino dell’oggetto. È un dettaglio tutt’altro che secondario, perché in molte aziende la chiave di ripristino di BitLocker è una delle informazioni più sensibili e, allo stesso tempo, una delle più necessarie quando una postazione non si avvia correttamente, deve essere recuperata dopo un incidente o richiede un intervento urgente da parte del supporto IT.

Lo stesso vale per le password gestite tramite Windows LAPS, perché le credenziali amministrative locali archiviate in Microsoft Entra ID non vengono perse durante il periodo di soft delete. Anche questo punto è molto rilevante nella gestione quotidiana degli endpoint, soprattutto quando il dispositivo non è più raggiungibile, non riesce ad autenticarsi correttamente o deve essere supportato localmente in modo controllato. Senza questa conservazione, una cancellazione accidentale potrebbe rendere più complesso l’accesso amministrativo al device proprio nel momento in cui serve intervenire.

Oltre a queste informazioni operative, Microsoft Entra ID conserva anche l’identificativo del dispositivo e il materiale di identità necessario per consentire il ripristino dell’oggetto. In pratica, il device non viene semplicemente ricreato da zero, ma può tornare nello stato attivo mantenendo le informazioni essenziali che lo identificavano prima della cancellazione. È proprio questo a rendere Device Soft Delete una funzionalità utile negli ambienti aziendali: non protegge solo la presenza dell’oggetto nella directory, ma anche il contesto tecnico che rende quel dispositivo gestibile, recuperabile e riconoscibile all’interno dell’infrastruttura.

Attenzione allo stato di compliance

Un dettaglio operativo da conoscere riguarda lo stato di compliance del dispositivo dopo l’eliminazione e il successivo ripristino. Quando un device entra nello stato di soft delete, Microsoft Entra ID resetta alcune proprietà collegate alla compliance, tra cui il valore IsCompliant, che viene impostato a False; altre proprietà correlate possono invece essere impostate a null o false, così da evitare che un dispositivo ripristinato torni immediatamente operativo con informazioni potenzialmente non più aggiornate.

Questo comportamento è corretto dal punto di vista della sicurezza, perché un dispositivo eliminato e poi recuperato non dovrebbe essere considerato automaticamente conforme sulla base dello stato che aveva prima della cancellazione. Dopo il restore, la compliance deve essere rivalutata dal sistema di gestione, in modo che l’accesso alle risorse aziendali dipenda da una valutazione aggiornata e non da dati precedenti, soprattutto negli ambienti in cui Microsoft Intune e Conditional Access vengono usati per applicare controlli di sicurezza sui dispositivi.

Nel caso di Microsoft Intune, il dispositivo dovrà quindi effettuare un nuovo check-in e completare una nuova valutazione di compliance prima di tornare allo stato atteso. Per gli amministratori questo significa che, dopo il ripristino di un device eliminato, potrebbe esserci una fase temporanea in cui il dispositivo risulta non compliant, anche se la situazione viene poi aggiornata dopo la sincronizzazione con Intune e la successiva rivalutazione delle policy applicate.

Come si ripristina un dispositivo eliminato

Durante la preview, Microsoft documenta il ripristino dei dispositivi eliminati tramite Microsoft Graph API o PowerShell. Questo significa che, dal punto di vista ufficiale, questi restano i metodi di riferimento per individuare e recuperare i device soft-deleted in Microsoft Entra ID.

Questa chiamata consente agli amministratori di elencare i dispositivi presenti nello stato soft-deleted e verificare quali possono ancora essere recuperati entro la finestra di 30 giorni prevista dalla funzionalità. Il restore deve essere eseguito con un account che disponga di uno dei ruoli supportati, quindi Cloud Device Administrator, Intune Administrator o Global Administrator, perché il ripristino di un device non è una semplice attività di inventario, ma un’operazione che riporta in stato attivo un’identità registrata nella directory.

Dopo il restore, l’oggetto dispositivo viene spostato nuovamente nel contenitore attivo di Microsoft Entra ID e può tornare a essere utilizzato per autenticazione e gestione. In alcuni casi l’utente potrebbe dover eseguire nuovamente l’accesso o riavviare il dispositivo per aggiornare correttamente la sessione e riallineare lo stato del device con i servizi cloud. Inoltre, come già visto per la compliance, il ripristino dell’oggetto non significa che tutte le valutazioni tornino immediatamente allo stato precedente, perché il dispositivo dovrà effettuare un nuovo check-in con il sistema MDM e completare una nuova valutazione da parte di Microsoft Intune.

Cosa cambia negli ambienti hybrid joined

Device Soft Delete diventa particolarmente interessante negli ambienti Microsoft Entra hybrid joined, dove i dispositivi continuano a esistere in Active Directory on-premises ma vengono sincronizzati verso Microsoft Entra ID tramite Microsoft Entra Connect. In questi scenari, l’identità del dispositivo non nasce soltanto nel cloud, ma dipende anche dalla corretta sincronizzazione degli oggetti computer, dalle OU incluse nel perimetro, dai filtri configurati e dalle regole che determinano quali device devono essere presenti anche nella directory cloud.

Uno degli scenari più delicati è la modifica accidentale dello scope di sincronizzazione. Può capitare, ad esempio, che una OU venga esclusa per errore, che alcuni computer object vengano spostati fuori dal perimetro sincronizzato oppure che una modifica ai filtri di Microsoft Entra Connect produca effetti più ampi del previsto. In passato, un errore di questo tipo poteva avere conseguenze pesanti sugli oggetti dispositivo presenti in Microsoft Entra ID, perché la rimozione dal perimetro di sincronizzazione poteva portare alla cancellazione degli oggetti cloud e alla perdita delle informazioni associate.

Con il soft delete, Microsoft Entra Connect può gestire meglio questo tipo di situazione, perché quando un oggetto dispositivo torna nel perimetro di sincronizzazione può rilevare la presenza di un device eliminato temporaneamente e ripristinarlo, invece di crearne uno nuovo, se il DeviceId corrisponde. Questo comportamento è importante perché aiuta a evitare duplicazioni, perdita di riferimenti e disallineamenti tra Active Directory on-premises e Microsoft Entra ID, soprattutto nei casi in cui una modifica errata allo scope di sincronizzazione abbia causato una cancellazione massiva o comunque non desiderata di dispositivi ancora validi.

Soft delete non significa gestione senza controllo

È importante leggere Device Soft Delete nel modo corretto, perché la presenza di una finestra di recupero non deve trasformarsi in una giustificazione per processi di pulizia meno rigorosi. Il fatto che un dispositivo eliminato possa essere ripristinato entro 30 giorni riduce l’impatto di un errore, ma non rende sicura una cancellazione eseguita senza verifiche, senza approvazioni o senza una procedura chiara a monte.

Le attività di cleanup dei dispositivi continuano quindi a richiedere attenzione, soprattutto quando vengono automatizzate tramite script PowerShell, Microsoft Graph o processi schedulati. Prima di eliminare device inattivi, duplicati o apparentemente non più in uso, conviene verificare più segnali insieme, come l’ultimo accesso, l’ultimo check-in MDM, lo stato in Microsoft Intune, l’ownership, l’eventuale presenza in Windows Autopilot, le assegnazioni a utenti o gruppi dinamici, le policy di compliance applicate e la necessità di conservare informazioni sensibili come BitLocker recovery keys o password gestite tramite Windows LAPS.

Il soft delete aggiunge quindi una protezione utile, ma non sostituisce un processo di gestione del ciclo di vita dei dispositivi. Anzi, proprio perché ora esiste una fase intermedia tra cancellazione e rimozione definitiva, può essere opportuno aggiornare le procedure interne distinguendo meglio tra eliminazione ordinaria, ripristino entro la finestra dei 30 giorni ed eliminazione permanente. In particolare, l’hard delete dovrebbe restare un’operazione consapevole e controllata, da eseguire solo quando l’IT ha verificato che l’oggetto dispositivo e i dati associati non siano più necessari per attività di supporto, sicurezza, audit o ripristino.

Impatto su Microsoft Intune

Dal punto di vista di Microsoft Intune, Device Soft Delete va letto con attenzione, perché molti amministratori partono proprio dall’inventario Intune per capire lo stato dei dispositivi aziendali. Quando un device viene eliminato e passa nello stato soft-deleted in Microsoft Entra ID, però, non bisogna aspettarsi di continuare a gestirlo normalmente dalle viste operative: il dispositivo non viene più trattato come un oggetto attivo, viene nascosto dalle liste standard e non può essere modificato dagli strumenti di gestione finché rimane nel contenitore dei dispositivi eliminati.

Questo comportamento è importante perché evita ambiguità tra dispositivi realmente attivi e dispositivi recuperabili ma non più operativi. In pratica, Device Soft Delete consente di preservare l’oggetto e le informazioni collegate, ma durante la finestra di recupero il device non deve essere considerato gestibile come prima. Per chi lavora ogni giorno con Intune, significa che la presenza del soft delete non cambia la necessità di monitorare correttamente lo stato del dispositivo, distinguendo tra inventario attivo, oggetti eliminati e device eventualmente da ripristinare.

Limiti della preview Device Soft Delete

Essendo ancora una funzionalità in preview, Device Soft Delete va considerata con la giusta cautela prima di inserirla stabilmente nei processi operativi. La logica di fondo è molto utile, soprattutto per ridurre l’impatto delle cancellazioni accidentali dei dispositivi, ma ci sono ancora alcuni limiti da conoscere per evitare aspettative sbagliate o procedure non allineate allo stato attuale della funzionalità.

Il primo limite riguarda l’esperienza di gestione. Durante la preview, la documentazione Microsoft indica Microsoft Graph API e PowerShell come metodi di riferimento per visualizzare e ripristinare i dispositivi eliminati. Eventuali esperienze grafiche disponibili nel portale vanno considerate legate al rollout della preview e non necessariamente presenti o complete in tutti i tenant. Questo significa che, almeno in questa fase, il ripristino non è un’operazione pensata per qualunque operatore di help desk, ma richiede competenze amministrative, attenzione ai permessi e un minimo di familiarità con strumenti di automazione e chiamate Graph.

Un secondo aspetto riguarda la delega amministrativa. Al momento non sono disponibili custom role specifici per le operazioni di soft delete e restore dei dispositivi; quindi, le aziende che applicano un modello molto granulare basato sul privilegio minimo potrebbero dover valutare con attenzione a chi assegnare i ruoli supportati. In pratica, se si vuole permettere a un team di ripristinare dispositivi eliminati, non è ancora possibile creare una delega limitata esclusivamente a questa attività, e questo può richiedere qualche compromesso temporaneo nella gestione dei privilegi.

Va poi considerato il tema delle automazioni esistenti, soprattutto negli ambienti dove sono ancora presenti script storici o integrazioni sviluppate anni fa. Microsoft segnala che le vecchie Azure AD Graph API, non essendo consapevoli del comportamento di soft delete, potrebbero eseguire una cancellazione permanente invece di spostare il dispositivo nello stato recuperabile. Questo è probabilmente uno dei punti più importanti da verificare prima di fare affidamento sulla funzionalità, perché uno script di cleanup ancora basato su API o moduli non aggiornati potrebbe bypassare proprio quella finestra di recupero che Device Soft Delete introduce per proteggere gli oggetti dispositivo.

Best practice operative per Device Soft Delete

Dal punto di vista operativo, Device Soft Delete dovrebbe essere considerato una protezione aggiuntiva, non il processo principale con cui governare il ciclo di vita dei dispositivi. La presenza di una finestra di recupero di 30 giorni è molto utile quando qualcosa va storto, ma non sostituisce criteri chiari per distinguere un device realmente dismesso da un dispositivo semplicemente inattivo, temporaneamente offline, non sincronizzato o assegnato a un utente che non lo utilizza da qualche tempo. Per questo motivo, le attività di cleanup dovrebbero sempre basarsi su più segnali, evitando eliminazioni massive costruite su un solo indicatore.

Un altro punto importante riguarda gli script e le automazioni già presenti nell’ambiente. Molte aziende hanno processi di pulizia dei dispositivi creati nel tempo, spesso basati su PowerShell, Microsoft Graph o, nei casi più datati, su Azure AD Graph e moduli non più moderni. Prima di fare affidamento su Device Soft Delete, conviene verificare quali API vengono utilizzate da queste automazioni, perché uno script non aggiornato potrebbe comportarsi in modo diverso da quello atteso e, nei casi peggiori, eseguire una cancellazione permanente invece di spostare il dispositivo nello stato recuperabile. La preview della funzionalità può quindi diventare anche l’occasione giusta per rivedere il codice esistente e portare i processi di gestione dei device verso Microsoft Graph.

La parte di controllo resta altrettanto importante. Le operazioni di eliminazione dei dispositivi devono essere tracciate tramite audit log, soprattutto negli ambienti in cui più team dispongono di permessi amministrativi o dove esistono processi automatici che intervengono sul ciclo di vita degli oggetti dispositivo. Sapere chi ha eliminato un device, quando è stata eseguita l’operazione e quale strumento è stato utilizzato continua a essere fondamentale anche con il soft delete, perché la recoverability riduce l’impatto dell’errore ma non elimina la necessità di capirne l’origine.

Anche il processo di restore dovrebbe essere documentato prima che serva davvero. Non basta sapere che un dispositivo può essere ripristinato entro 30 giorni: bisogna definire chi può eseguire il restore, quale ruolo deve utilizzare, quali verifiche devono essere fatte dopo il ripristino e come gestire l’eventuale fase temporanea in cui il device risulta non compliant o non ancora riallineato con Microsoft Intune e Conditional Access. In un ambiente ben governato, il ripristino non dovrebbe essere un’azione improvvisata, ma una procedura chiara, tracciabile e conosciuta dai team che gestiscono identità, endpoint e sicurezza.

Infine, prima di procedere con l’eliminazione permanente di un dispositivo, è opportuno verificare se l’oggetto contiene ancora informazioni che potrebbero servire per attività di supporto, audit o ripristino. Questo vale in particolare per le BitLocker recovery keys e per le password gestite tramite Windows LAPS, perché una volta eseguito l’hard delete non sarà più possibile recuperare l’oggetto e i dati associati. L’eliminazione definitiva dovrebbe quindi restare un’operazione consapevole, da eseguire solo quando l’IT ha la certezza che quel dispositivo e le informazioni collegate non siano più necessari.

Conclusioni

Device Soft Delete in Microsoft Entra ID è una novità piccola solo in apparenza, perché interviene su un punto molto concreto della gestione moderna degli endpoint: la possibilità di recuperare un dispositivo eliminato prima che la cancellazione diventi definitiva. Per chi amministra ambienti aziendali basati su Microsoft Entra ID, Microsoft Intune, Windows Autopilot, Conditional Access, BitLocker e Windows LAPS, avere una finestra di recupero di 30 giorni significa ridurre il rischio operativo legato a errori amministrativi, attività di cleanup troppo aggressive, automazioni non sufficientemente controllate o modifiche errate negli ambienti hybrid joined.

Il valore della funzionalità non sta soltanto nel ripristino dell’oggetto dispositivo, ma anche nella conservazione delle informazioni collegate, come BitLocker recovery keys, password gestite tramite Windows LAPS e materiale di identità del device. In scenari reali, soprattutto durante attività di supporto, troubleshooting, reinstallazione o gestione di un incidente di sicurezza, poter recuperare questi dati può evitare interventi più complessi e ridurre il rischio di dover ricostruire completamente il dispositivo o perdere riferimenti utili per la gestione.

Allo stesso tempo, Device Soft Delete va utilizzato con consapevolezza, soprattutto perché durante la preview il ripristino richiede ancora l’utilizzo di Microsoft Graph API o PowerShell, non tutti i tipi di dispositivo sono supportati e lo stato di compliance deve essere rivalutato dopo il restore. Questo significa che la funzionalità non deve essere interpretata come un rollback completo dello stato operativo del device, ma come una protezione aggiuntiva che permette all’IT di recuperare l’oggetto eliminato e gestire poi le verifiche necessarie su Intune, Conditional Access, check-in MDM e policy applicate.