2 modi per eseguire il reset di Windows Autopilot

Quando si parla di “reset di Windows Autopilot”, in realtà si stanno mescolando due operazioni diverse: la pulizia del dispositivo dal tenant Microsoft Entra/Intune e la reimpostazione del PC in modo che torni a un stato adatto a un nuovo ciclo di provisioning. Se le fai nel verso sbagliato, rischi di lasciare oggetti orfani nel tenant, profili assegnati a metà o un device che al primo avvio torna a iscriversi con i vecchi vincoli.

Per lavorare bene conviene distinguere due casi pratici: il reset operativo da eseguire dal dispositivo e il reset amministrativo da eseguire dal portale. Il primo serve quando hai il PC in mano e vuoi riportarlo a una condizione pulita; il secondo serve quando devi rimuovere il record Autopilot dal tenant e preparare una nuova registrazione. Sono complementari, non intercambiabili.

Prima di toccare il device: cosa va verificato

Prima di avviare qualsiasi reset, verifica tre cose: che il dispositivo sia davvero gestito da Autopilot, che ci sia una relazione corretta tra hardware hash e oggetto device, e che eventuali dati utente siano già stati salvati o migrati. Se il PC è ancora in uso, un reset completo cancella app, configurazioni locali e dati non sincronizzati. Il blast radius è quindi il dispositivo stesso, ma gli effetti si estendono anche al tenant se elimini il record sbagliato.

Se lavori in Intune, controlla il profilo del device in Devices > Windows > Windows enrollment > Devices e, se necessario, in Microsoft Entra admin center > Devices. Lì devi capire se il record è presente, se è assegnato a un profilo Autopilot e se esistono gruppi o filtri che lo stanno includendo. Se non hai accesso al portale, il dato minimo che serve è il numero di serie o, meglio ancora, l’hardware hash del device.

Modo 1: reset dal dispositivo per ripartire con un provisioning pulito

Questo è il metodo più semplice quando il PC è accessibile e vuoi riportarlo a una condizione adatta a una nuova consegna. Non rimuove automaticamente il record Autopilot dal tenant, quindi va usato insieme alla pulizia amministrativa se il device deve cambiare proprietà, utente o stato di registrazione.

In pratica il flusso è quello di un reset o di una reimpostazione completa del sistema, a seconda del contesto aziendale e della policy applicata. L’obiettivo è arrivare a OOBE, cioè alla prima esperienza di configurazione, così che Autopilot possa riprendere il controllo al successivo avvio.

Procedura operativa sul PC

1. Se il device è ancora assegnato a un utente, verifica che OneDrive, Outlook e gli altri dati critici siano sincronizzati o esportati. Non dare per scontato che il profilo cloud abbia preso tutto.

2. Da Impostazioni > Sistema > Ripristino avvia Reimposta il PC. Se la macchina è in ambito enterprise, spesso la strada più coerente è il reset che porta a una reinstallazione pulita mantenendo il controllo del provisioning successivo.

3. Scegli l’opzione che rimuove app e impostazioni locali. Se l’obiettivo è una nuova assegnazione, evita i percorsi che conservano troppi elementi del profilo precedente: il rischio è ritrovarti con residui di configurazione e policy.

4. Lascia che il device completi il reset e arrivi alla schermata iniziale di configurazione. A questo punto, se il device è ancora presente nel tenant con il profilo Autopilot corretto, il provisioning ripartirà secondo le policy assegnate.

5. Alla prima connessione di rete, controlla che compaia il flusso aziendale atteso e non la semplice configurazione consumer. Se vedi la normale OOBE senza branding o senza policy, il problema è quasi sempre lato registrazione o assegnazione del profilo.

Verifica post-azione: il device deve mostrare il comportamento previsto dalla tua configurazione Autopilot, con enrollment in Intune e applicazione delle policy. Se invece resta fuori gestione, il reset locale è riuscito ma il tenant non sta riconoscendo il device.

Modo 2: reset amministrativo dal tenant con rimozione del record Autopilot

Questo è il passaggio che spesso manca: togliere il device dall’infrastruttura Autopilot prima di riassegnarlo. Se non lo fai, il PC può continuare a presentarsi al provisioning con il vecchio profilo, oppure restare agganciato a un oggetto non più coerente con la realtà operativa.

Qui l’obiettivo non è solo “resettare”, ma rimuovere l’associazione fra hardware e configurazione Autopilot, pulire eventuali oggetti duplicati e poi, se serve, reimportare l’hardware hash per una nuova registrazione. Questo è il metodo corretto quando il dispositivo cambia ownership, reparto o ciclo di vita.

Procedura nel portale Microsoft

1. Apri Intune admin center e vai in Devices > Windows > Windows enrollment > Devices.

2. Cerca il device usando numero di serie, nome o stato di registrazione. Se hai dubbi, incrocia il dato con Microsoft Entra admin center > Devices per confermare che stai guardando lo stesso oggetto.

3. Rimuovi l’assegnazione al profilo Autopilot, se presente. In molti ambienti il passaggio corretto è prima dissociare il profilo e poi eliminare il record del device dall’elenco Autopilot.

4. Se il dispositivo deve essere riutilizzato da zero, elimina anche il record corrispondente in Entra/Intune, tenendo presente che la cancellazione agisce sul tenant e non sul contenuto fisico del PC. Il blast radius è quindi amministrativo, ma può interrompere il successivo enrollment se fatto sul device sbagliato.

5. Se il PC deve rientrare in Autopilot con un nuovo profilo, reimporta il nuovo hardware hash e assegna il device al profilo corretto. Senza questo passaggio, il reset locale non basta a farlo rientrare nel flusso di provisioning desiderato.

6. Attendi la propagazione nel tenant prima di far ripartire il device. In ambienti reali i cambiamenti non sono istantanei: se riaccendi troppo presto, potresti vedere ancora il comportamento precedente per via della cache lato servizio.

Confronto pratico fra i due modi

Il reset dal dispositivo è il modo giusto quando devi ripulire il sistema operativo e riportarlo a OOBE. Il reset dal tenant è il modo giusto quando devi interrompere o ricreare il legame Autopilot fra hardware e profilo. Se vuoi un provisioning pulito davvero, nella maggior parte dei casi servono entrambi: prima sistema il lato amministrativo, poi fai ripartire il device.

Se esegui solo il reset locale, il device può tornare a contattare il tenant e riprendere vecchie assegnazioni. Se fai solo la rimozione dal tenant, ma lasci il PC com’è, l’utente si ritrova ancora dati, app e configurazioni precedenti. La scelta dipende dal risultato atteso: reinstallazione del sistema, riciclo del dispositivo o nuova assegnazione a un altro utente.

Comandi utili per verificare lo stato

Quando hai accesso al device, alcuni controlli rapidi aiutano a capire se la macchina sta davvero seguendo il percorso previsto. Su Windows, da PowerShell puoi raccogliere informazioni di base sul dispositivo e sullo stato di enrollment; non risolvono tutto, ma ti dicono subito se stai lavorando sul nodo giusto.

dsregcmd /status

Nel report cerca soprattutto le sezioni legate a Azure AD join, device state e tenant info. Se il dispositivo non è nel tenant atteso, o il join non è coerente, il problema non è il reset ma l’identità del device nel cloud.

Get-ComputerInfo | Select-Object CsName, WindowsProductName, WindowsVersion

Questo ti aiuta a confermare rapidamente il nome macchina e la versione del sistema operativo. In ambienti con più device simili, il numero di serie e il nome host sono i primi dati da incrociare con il portale.

Se vuoi andare più a fondo, controlla gli eventi di enrollment e i log MDM nel Visualizzatore eventi. Il punto non è “leggere tutto”, ma verificare se il dispositivo sta fallendo il contatto con il servizio oppure se il problema nasce a monte, nella registrazione Autopilot.

Errori tipici che fanno sembrare fallito il reset

Il primo errore è confondere il reset del sistema con il reset dell’associazione Autopilot. Sono due livelli diversi e vanno trattati separatamente. Il secondo errore è cancellare il record sbagliato nel tenant: se non hai verificato seriale e hardware hash, rischi di rompere il provisioning di un altro PC identico come modello, ma diverso come identità.

Il terzo errore è saltare i tempi di propagazione. Dopo modifiche al profilo o alla registrazione, il servizio può impiegare un po’ prima di riflettere lo stato corretto. Se fai il test immediatamente, potresti concludere che il reset non ha funzionato quando in realtà il tenant non si è ancora allineato.

Un altro caso frequente è il device che si presenta ancora con vecchie policy anche dopo il reset. Qui il sospetto non è sul reset in sé, ma su caching, assegnazioni di gruppo residue o presenza di più oggetti per lo stesso hardware. La verifica utile è sempre la stessa: seriale, oggetto Autopilot, assegnazione del profilo e stato dell’enrollment.

Quando usare un wipe completo e quando no

Se il PC deve restare nello stesso ambito organizzativo e cambia solo utente, spesso basta una procedura di ripristino gestita e la successiva riassegnazione via Autopilot. Se invece il dispositivo esce da un reparto, da un progetto o da un proprietario precedente, conviene un wipe completo con rimozione del record dal tenant e nuova registrazione.

Non usare un reset aggressivo senza motivo su una macchina ancora produttiva, soprattutto se non hai già verificato backup, sincronizzazione e dipendenze applicative. Il costo del recupero dei dati mancanti è quasi sempre superiore al tempo risparmiato con una procedura sbrigativa.

Sequenza consigliata in ambiente aziendale

La sequenza più pulita, nella pratica, è questa: verifica il device, esporta o sincronizza i dati, rimuovi o dissocia il record Autopilot dal tenant, esegui il reset locale, lascia arrivare il device a OOBE e controlla il nuovo enrollment. Se il device deve essere reimmesso, reimporta l’hardware hash e assegna il profilo corretto prima del primo boot utile.

Così riduci il rischio di oggetti duplicati, enrollment incoerenti e utenti che vedono una configurazione ibrida fra vecchio e nuovo. È una procedura semplice, ma solo se rispetti l’ordine dei passaggi.

Verifica finale e rollback

La verifica finale non è “il PC si accende”, ma “il PC si accende e arriva al provisioning atteso”. Devi vedere il device presente nel tenant, assegnato al profilo giusto e con enrollment riuscito. Se qualcosa non torna, il rollback dipende da dove hai agito: lato device puoi interrompere il reset e riprendere il controllo manuale; lato tenant puoi ripristinare l’assegnazione del profilo o reimportare il record se l’avevi rimosso per errore.

Assunzione operativa: il dispositivo è in ambiente gestito, con Intune e Autopilot già attivi, e il reset serve a riportarlo a un nuovo ciclo di provisioning o a una nuova assegnazione.