Device Clean-Up Rules in Microsoft Intune

Introduzione

In un tenant di Microsoft Intune operativo è normale che, nel tempo, si accumulino dispositivi duplicati, non più utilizzati o semplicemente inattivi: sostituzioni hardware, reinstallazioni del sistema operativo, enrollment di prova, device temporanei o lasciati spenti per lunghi periodi. Questo fenomeno aumenta il “rumore” nell’inventario e riduce l’affidabilità di report e attività operative (monitoraggio, troubleshooting, analisi di conformità).

Per gestire questo scenario, Microsoft Intune mette a disposizione le Device Clean-Up Rules: regole che consentono di ripulire la vista amministrativa e i report nascondendo automaticamente i dispositivi che non effettuano check-in da un determinato numero di giorni. L’aspetto importante è che le Device Clean-Up Rules non eseguono azioni distruttive sul dispositivo (come wipe o retire). Infatti, l’obiettivo è migliorare l’igiene del tenant e la qualità dei dati esposti in console, mantenendo un inventario più leggibile e in linea con quello che effettivamente si ha in produzione.

In questo articolo vediamo nel dettaglio:

• L’importanza di un ambiente pulito
• Cos’è una Device Clean-Up Rule
• Come configurare una Device Clean-Up Rule
• Conclusioni

L’importanza di avere un ambiente pulito

In un tenant di Microsoft Intune, la presenza di dispositivi inattivi o duplicati non è solo un tema di ordine “visivo”: aumenta il rumore nell’inventario e rende meno affidabili attività operative e report, perché diventa più difficile distinguere rapidamente quali endpoint siano effettivamente attivi e gestiti. Le Device Clean-Up Rules nascono proprio per mantenere la console più leggibile, riducendo la presenza di record “stale” (inattivi) attraverso un meccanismo automatico basato sull’assenza di check-in per un periodo definito.

Microsoft include le Device Clean-Up Rules anche tra le raccomandazioni per aumentare la sicurezza del tenant: l’obiettivo è migliorare l’igiene del tenant nascondendo i dispositivi inattivi dalle viste amministrative e dai report, riducendo l’onere amministrativo e mantenendo disponibili informazioni utili per audit o attività di investigazione. In questo modo, la gestione quotidiana si basa su dati più coerenti e, in ottica Zero Trust, su un inventario più affidabile.

Cosa sono le Device Clean-up Rule

Le Device Clean-Up Rules in Microsoft Intune sono regole che vengono eseguite a intervalli pianificati e che servono a mantenere più “pulite” console e report, nascondendo automaticamente i record dei dispositivi che non effettuano check-in da un numero di giorni definito (ad esempio 30). Il concetto chiave è proprio questo: le Device Clean-Up Rules agiscono sul record in Microsoft Intune (visibilità in portale e report) e non avviano azioni sul dispositivo; quindi, non eseguono operazioni come wipe o retire. Questa logica ha alcune conseguenze operative importanti. Un dispositivo “ripulito” può tornare visibile in Microsoft Intune se effettua nuovamente il check-in prima che scada il proprio certificato del dispositivo; se invece il certificato è scaduto, per tornare ad essere gestito è richiesto un nuovo processo di enrollment.

Le Device Clean-Up Rules si configurano per piattaforma. Infatti, è possibile creare una regola per ciascuna piattaforma (oppure “All platforms”) e la regola si applica a tutti i dispositivi dell’organizzazione appartenenti alla piattaforma selezionata. Le piattaforme supportate includono, tra le altre, Windows, macOS, iOS/iPadOS, diverse modalità Android e ChromeOS. Il parametro centrale della regola è la soglia di inattività “Remove devices that haven’t checked in for this many days”, configurabile in un intervallo compreso tra 30 e 270 giorni. Se un dispositivo non effettua check-in entro quella soglia, il relativo record viene considerato stale/inattivo e viene “cleaned up” (quindi nascosto).

Importante: Un punto spesso frainteso è che un dispositivo nascosto da Microsoft Intune tramite Device Clean-Up Rules non viene rimosso da Microsoft Entra ID. Se l’obiettivo è anche la bonifica degli oggetti dispositivo in Entra, serve un processo dedicato e una policy di lifecycle specifica per Entra. Infine, una limitazione esplicita: le Device Clean-Up Rules non sono disponibili per dispositivi gestiti tramite Jamf.

Come configurare una Device Clean-up Rule

In questa sezione vediamo come configurare una Device Clean-Up Rule in Microsoft Intune, quali permessi servono, come validare l’impatto prima di applicarla e come tracciare in modo puntuale ciò che viene “ripulito” tramite gli audit log.

Prerequisiti e permessi

Per configurare le Device Clean-Up Rules in Microsoft Intune è necessario usare un account con almeno uno dei ruoli indicati da Microsoft: Intune Service Administrator oppure un ruolo custom che includa i permessi:

• Managed Device Cleanup Rules/Update
  
• Managed Device Cleanup Settings/Update
  
• Permessi che consentano visibilità e accesso ai dispositivi gestiti (ad esempio “Organization/Read” e “Managed devices/Read”).
  

Questo approccio è particolarmente utile quando si vuole delegare la gestione delle Device Clean-Up Rules senza assegnare privilegi amministrativi eccessivi.

Procedura in Microsoft Intune admin center

La configurazione di una Device Clean-Up Rule in Microsoft Intune è molto lineare e semplice. Vediamo come crearne una step-by-step.

Come prima cosa, accediamo al Microsoft Intune admin center e navigmiamo in Devices > Device clean-up rules, quindi seleziona Create.

Nella sezione Basics inseriamo un nome per la nostra regola nel campo Name, se volete aggiungete una Description (opzionale) e la Platform a cui applicare la regola tramite il menu a tendina. Ricordate che è possibile creare una regola per piattaforma e che la regola si applica a tutti i dispositivi dell’organizzazione che appartengono alla piattaforma selezionata. Una volta fatto, proseguiamo facendo click su Next

In Rule settings configuriamo il parametro “Remove devices that haven’t checked in for this many days”. Il valore accettato è compreso tra 30 e 270 giorni e determina dopo quanti giorni senza check-in un dispositivo viene considerato stale (inattivo) e quindi “cleaned up” (nascosto) da portale e report. Prima di confermare la creazione, usate Preview affected devices per ottenere l’elenco dei dispositivi che verrebbero coinvolti con la soglia scelta. È il passaggio che riduce il rischio di impatti indesiderati, perché consente di validare l’effetto della regola prima che venga applicata.

Nel nostro laboratorio di test non impatta alcun dispositivo, ma vi suggerisco di controllare sempre Preview affected devices prima di applicare una Device clean-up rule

Una volta terminato, procediamo facendo click su Next

Concludiamo con la sezione Review + create, verifichiamo che sia tutto ok ed infine procediamo facendo click su Create.

Da questo momento la Device Clean-Up Rule è attiva.

Verifica e tracciamento

Una volta operativa, Microsoft Intune rende tracciabile l’attività delle Device Clean-Up Rules tramite gli audit log. Gli Intune audit logs mostrano i dispositivi nascosti dalla regola e suggerisce il filtro per identificarli rapidamente: in Activity name cercate “Device set to be hidden from admin by Device Cleanup Rule…”

Gli audit log sono consultabili dal percorso Tenant administration > Audit logs nel portale Intune, e l’accesso è consentito agli utenti con ruolo Intune Administrator (Microsoft Entra role) oppure a chi ha un ruolo Intune con permessi Audit data – Read.

Considerazioni pratiche

La soglia di inattività non dovrebbe essere scelta a sensazione. Microsoft, trattando la gestione dei dispositivi stale in Microsoft Entra ID, raccomanda di definire una policy e un timeframe che considerino anche i falsi positivi (ad esempio assenze prolungate, dispositivi stagionali) e di evitare approcci troppo aggressivi; inoltre, vi suggerisco un modello prudente (disable con grace period prima di eliminare) proprio perché una valutazione errata può avere conseguenze operative. Questo principio è utile anche quando si ragiona sulle Device Clean-Up Rules: anche se Intune nasconde e non elimina, anticipare troppo la pulizia può ridurre la visibilità operativa e aumentare ambiguità in supporto e reporting.

Infine, è importante non confondere i piani. Le Device Clean-Up Rules in Microsoft Intune sono una misura di igiene della console MDM basata sul check-in, mentre in Microsoft Entra ID il concetto di “stale device” è legato all’attività dell’identità del dispositivo verso risorse cloud (ad esempio proprietà come ApproximateLastSignInDateTime) e segue logiche di lifecycle diverse. Per ottenere una pulizia completa, Intune ed Entra vanno governati con processi distinti. Approfondiremo la questione di Microsoft Entra in un altro articolo.

Conclusioni

Le Device Clean-Up Rules in Microsoft Intune sono una funzionalità semplice, ma con un impatto concreto sulla gestione quotidiana: migliorano l’igiene del tenant, rendono più leggibili le viste amministrative e riducono il rumore nei report, aiutando a lavorare su un inventario più coerente. In un contesto in cui l’accuratezza dell’inventario è un prerequisito per decisioni operative affidabili, le Device Clean-Up Rules contribuiscono anche a sostenere le raccomandazioni di Microsoft per un tenant più sicuro e allineato ai principi Zero Trust, intervenendo in modo non distruttivo (nascondendo i record inattivi, senza eseguire azioni sul dispositivo).

La raccomandazione finale è operativa e prudente: definite una soglia in linea con i vostri scenari reali, validate sempre l’impatto tramite Preview affected devices e utilizzate gli Audit logs per tracciare in modo puntuale i dispositivi nascosti dalla regola. Trattare le Device Clean-Up Rules come parte del lifecycle management del tenant (e non come un’azione spot) consente di mantenere nel tempo un ambiente Microsoft Intune più ordinato, più affidabile e più facile da governare.