Dismettere il Domain Controller Locale: La Transizione a Intune e M365 Cloud-Native

Mantenere acceso un server fisico in sala macchine con Windows Server e Active Directory locale solo per gestire le password di 60 laptop che non entrano fisicamente in azienda da mesi è uno dei debiti tecnici più costosi, fragili e anacronistici che affliggono le PMI moderne.

In molte organizzazioni commerciali, distributive e multi-sede (come concessionari auto con showroom diffusi, studi professionali o aziende di servizi), il Domain Controller on-premise è diventato una vera e propria zavorra operativa:

La gabbia della VPN: Per cambiare la password di dominio o sincronizzare una policy di gruppo (GPO), l’utente remoto deve ricordarsi di collegarsi via VPN prima del login, pena il disallineamento della cache delle credenziali.
Hardware obsoleto e single point of failure: Server con 7-8 anni di vita, spesso senza ridondanza geografica, con gruppi di continuità (UPS) esauriti e backup su disco USB che nessuno testa regolarmente.
Costi vivi ricorrenti: Licenze Windows Server, licenze CAL (Client Access License) per ogni postazione, manutenzione hardware, condizionamento e consumo elettrico 24/7.
Provisioning manuale e “fatigue” da SysAdmin: Ogni nuovo PC richiede ore di formattazione artigianale, installazione manuale di software e join al dominio via cavo in sede.

In questo articolo illustriamo il percorso ingegneristico di decommissioning completo dell’Active Directory on-premise, migrando l’intero parco endpoint verso un’architettura Cloud-Native pura basata su Microsoft Entra ID (ex Azure AD) e Microsoft Intune.

1. Il Salto Concettuale: Da “Perimetro Fisico” a “Zero Trust Endpoint”

Il modello Active Directory tradizionale è nato oltre venticinque anni fa su un assunto che oggi non esiste più: tutti i dispositivi e gli utenti lavorano all’interno della stessa rete LAN protetta da un firewall perimetrale.

Nel contesto lavorativo contemporaneo, gli endpoint navigano su connessioni 5G, Wi-Fi domestici o reti guest presso clienti. Far dipendere la gestione di un laptop dal contatto periodico con un server locale è controproducente.

Passare al modello Cloud-Native significa capovolgere la logica:

L’identità è il nuovo perimetro: L’autenticazione dell’utente avviene direttamente contro Entra ID con autenticazione a più fattori (MFA) e accesso condizionale (Conditional Access).
La gestione viaggia su HTTPS pubblico: Nessuna VPN necessaria. Microsoft Intune distribuisce configurazioni, aggiornamenti e policy di sicurezza ovunque il laptop si trovi, purché abbia una connessione Internet.
Hardware isolato e crittografato: Se un portatile viene smarrito o rubato, il disco è cifrato con BitLocker e il dispositivo può essere cancellato da remoto con un clic.

2. I Quattro Pilastri della Transizione

[ Nuovo Laptop sigillato ] 
         │
         ▼  (Windows Autopilot)
[ Spedizione diretta al collaboratore ]
         │
         ▼  (Login Entra ID: user@azienda.it + MFA)
[ Enrolment Intune automatico ]
         ├── Applicazione Baseline di Sicurezza (BitLocker, TPM 2.0, Defender)
         ├── Distribuzione silenziosa App (M365 Apps, Line-of-Business, VPN/Tool)
         └── Monitoraggio continuo Compliance & Patching

Pilastro 1: Zero-Touch Deployment con Windows Autopilot

Il primo beneficio tangibile per il reparto IT è l’azzeramento dei tempi di preparazione delle macchine:

I seriali hardware (hardware hash) dei laptop vengono registrati nel tenant aziendale direttamente dal fornitore hardware o tramite script PowerShell al primo unboxing.
Il laptop viene spedito direttamente nella scatola sigillata al collaboratore, ovunque si trovi.
Al primo avvio (OOBE - Out of Box Experience), il PC si collega a Internet, riconosce il tenant aziendale e mostra la schermata di login personalizzata con il logo dell’organizzazione.
Inserite le credenziali e superato l’MFA, Intune si occupa in background di installare le applicazioni autorizzate, configurare i certificati e applicare i criteri di sicurezza.

Pilastro 2: Baseline di Sicurezza Centralizzata (Addio alle GPO fragili)

Le vecchie Group Policy Object (GPO) locali richiedevano visibilità diretta verso i Domain Controller tramite porta 445 e RPC. Su Intune, la sicurezza è definita tramite Configuration Profiles e Security Baselines:

Cifratura BitLocker obbligatoria: Attivazione automatica e trasparente dell’encryption XTS-AES 256-bit all’enrolment, con salvataggio automatico e blindato delle chiavi di ripristino direttamente su Microsoft Entra ID.
Obbligo hardware TPM 2.0 & Secure Boot: Blocco dell’accesso ai dati aziendali per dispositivi che non soddisfano i requisiti di integrità fisica.
Controllo periferiche rimovibili (USB): Blocco della scrittura su chiavette USB non censite o non crittografate, prevenendo l’esfiltrazione involontaria di dati riservati.
Microsoft Defender for Endpoint: Monitoraggio continuo delle minacce, antivirus centralizzato e isolamento automatico della macchina in caso di compromissione.

Pilastro 3: Gestione Utente e Single Sign-On (SSO)

Con l’abbandono del Domain Controller locale, cade la necessità di sincronizzare le password con agenti locali come Entra Connect (ex AAD Connect). L’identità diventa cloud-first:

Credenziali uniche per Windows, posta Microsoft 365, SharePoint/OneDrive e tutte le applicazioni aziendali via SAML / OIDC.
Self-Service Password Reset (SSPR): Gli utenti possono reimpostare la propria password in autonomia da web tramite autenticazione biometrica o app Authenticator, azzerando le chiamate di emergenza all’helpdesk.

Pilastro 4: Decommissioning Fisico in Sicurezza

La dismissione del server locale non avviene spegnendo brutalmente la macchina, ma seguendo un piano metodico:

Audit delle dipendenze: Verifica di share di rete SMB ancora residenti sul vecchio server (migrazione selettiva su SharePoint Online / OneDrive per cartelle personali e dipartimentali).
Censimento stampanti di rete: Transizione a Universal Print di Microsoft o mapping automatico IP tramite policy Intune.
Migrazione progressiva dei client: Re-enrolment ordinato delle macchine esistenti su Entra ID nativo (azzeramento dei profili di dominio orfani).
Demozione del ruolo Domain Services (dcpromo): Rimozione controllata dei ruoli Active Directory, spegnimento del nodo e smaltimento a norma RAEE con cancellazione certificata dei dischi.

3. Numeri e ROI Reali: Il Confronto sul Campo

Cosa cambia realmente per un’azienda con 50-70 postazioni di lavoro dopo la transizione?

Voce di Costo / Gestione	Domain Controller Locale	M365 + Intune Cloud-Native
Tempo di preparazione nuovo PC	3 - 4 ore per macchina	20 minuti (Zero-Touch automatico)
Supporto cambio password remoto	Frequenti blocchi VPN e chiamate helpdesk	Self-Service con MFA in 60 secondi
Costi hardware e sala server	Server + UPS + licenze Windows Server/CAL	0 € (server fisico spento e rottamato)
Rischio ransomware orizzontale	Alto (movimento laterale su AD tramite NTLM/Kerberos)	Isolamento Zero Trust per singolo endpoint
Cifratura BitLocker	Disomogenea o non tracciata	100% delle macchine verificate da console

Conclusioni: Il Futuro del Workplace è Leggero e Sicuro

Rimanere aggrappati a un server di dominio locale nel 2026 per abitudine o inerzia è una scelta ad alto rischio operativo. Il modello Cloud-Native con Entra ID e Intune non è un lusso riservato alle grandi enterprise, ma lo standard de facto per qualsiasi azienda che voglia proteggere i propri collaboratori in mobilità, ridurre a zero i costi di infrastruttura locale e semplificare drasticamente la vita del proprio team IT.

Vuoi analizzare lo stato del tuo parco macchine e pianificare la dismissione del tuo vecchio controller di dominio? Contatta Protezione Cloud per una valutazione tecnica e un piano di migrazione sicuro.