Come verificare lo stato di Gatekeeper su Mac con Intune

Se devi verificare lo stato di Gatekeeper su un Mac gestito con Intune, la prima cosa da chiarire è questa: Intune ti dice se il dispositivo è conforme alla policy, ma non sempre ti mostra in modo diretto il motivo per cui un’app viene bloccata da macOS. Per questo la verifica va fatta su due piani: lato gestione, guardando profilo e stato di compliance in Intune; lato endpoint, controllando il comportamento effettivo di Gatekeeper con i comandi di sistema e i log locali.

In pratica, se un utente segnala che un’app non si apre, non basta vedere “compliant” nel portale. Devi capire se il Mac ha ricevuto correttamente il profilo, se Gatekeeper è attivo, se la quarantena è presente sul file, e se la policy di sicurezza locale sta imponendo un blocco coerente con ciò che Intune si aspetta. È qui che si evita la classica diagnosi sbagliata: scambiare un problema di firma o notarizzazione per un problema di MDM, o viceversa.

Che cosa controlla davvero Intune quando parliamo di Gatekeeper

Intune non “legge” Gatekeeper come farebbe un comando locale; distribuisce profili, imposta vincoli di sicurezza e raccoglie segnali di conformità. Su macOS, la parte che interessa di più è la combinazione tra configurazione MDM, profili di restrizione, eventuali impostazioni di sicurezza e lo stato di gestione del device. Se il Mac è registrato correttamente, Intune può applicare impostazioni che influenzano l’installazione e l’esecuzione delle app, ma la verifica del blocco reale resta sempre sul sistema operativo.

Per questo una diagnosi seria parte da una distinzione semplice: conformità non è uguale a funzionamento locale. Un Mac può risultare in regola nel portale e avere comunque Gatekeeper che blocca un binario scaricato, un installer non notarizzato o un’app con attributi di quarantena. Viceversa, un’app può aprirsi grazie a un’eccezione locale, mentre Intune continua a segnalare una policy non allineata.

Verifica rapida lato Intune: profilo, assegnazione e stato dispositivo

Dal portale Intune, la prima verifica utile è sul dispositivo specifico. Cerca il Mac in Devices e controlla che risulti assegnato al gruppo giusto, con profili effettivamente applicati. Se hai un profilo dedicato a macOS che impatta sicurezza o restrizioni, aprilo e verifica lo stato di assegnazione e l’eventuale errore di applicazione. Questo ti dice subito se il problema è di distribuzione o se devi scendere sul client.

Il punto pratico è guardare tre elementi: il device è Managed, il profilo è Succeeded o ha errori, e l’ultima sincronizzazione è recente. Se la sincronizzazione è vecchia, non fidarti del portale finché non forzi un check-in. In molti casi la differenza tra “sembra tutto a posto” e “il Mac non ha ricevuto la policy” è solo una sync in ritardo o un token MDM scaduto.

Se vuoi una verifica operativa dal lato utente, puoi anche usare l’app Company Portal per forzare la sincronizzazione. Non risolve un problema di Gatekeeper, ma ti aiuta a capire se il canale MDM è vivo. Se la sync fallisce, il problema è a monte: enrollment, rete, certificati, oppure comunicazione con i servizi Microsoft.

Verifica locale su macOS: Gatekeeper è attivo oppure no

Su macOS, il comando più diretto per controllare lo stato di Gatekeeper è questo:

spctl --status

Il risultato atteso, nella maggior parte dei casi, è assessments enabled. Se vedi assessments disabled, Gatekeeper non sta imponendo le valutazioni standard e devi capire se c’è una scelta amministrativa esplicita o una modifica locale non desiderata. Questo non dipende da Intune in modo automatico: può essere una conseguenza di profili, script o interventi manuali sul Mac.

Per una verifica più concreta su una singola app, usa:

spctl --assess --verbose /Applications/NomeApp.app

Se l’app è accettata, il comando restituisce un esito coerente con la policy. Se viene rifiutata, il messaggio ti dice se il problema è firma, notarizzazione o una valutazione di sicurezza più generica. Questa è la prova che ti serve per separare il problema “il Mac blocca davvero” dal problema “Intune mostra un dato incompleto”.

Un altro controllo utile è vedere se il file ha attributi di quarantena, perché spesso il blocco nasce da lì:

xattr -l /Applications/NomeApp.app

Se compare com.apple.quarantine, macOS considera l’oggetto come scaricato da una fonte esterna e applica controlli aggiuntivi. Non è di per sé un errore, ma è spesso il motivo per cui un’app appena distribuita viene fermata al primo avvio. In questi casi il comportamento di Gatekeeper è corretto; il problema sta nel flusso di distribuzione o nel pacchetto fornito all’utente.

Log locali da leggere quando l’app viene bloccata

Se il comando locale non basta, passa ai log. Su macOS puoi interrogare il subsistema di sicurezza e individuare gli eventi correlati a Gatekeeper, quarantine e policy assessment. Il punto non è fare grep a caso, ma cercare il nome dell’app, il path o il momento esatto del tentativo di apertura.

log show --predicate 'subsystem ==