1 14/04/2026 3 min

Hybrid Azure AD Join non è una spunta da mettere “per far comparire il dispositivo nel portale”: è un flusso preciso tra Active Directory on-premises, Azure AD Connect e i client Windows. Se uno dei tre pezzi è fuori posto, il dispositivo resta in uno stato ibrido incompleto: vede il dominio, ma non ottiene il join ad Azure AD; oppure registra l’oggetto in cloud ma non completa la parte device identity. La differenza la fanno quasi sempre SCP, sincronizzazione dell’OU giusta, versione del client e connettività verso gli endpoint Microsoft.

La configurazione corretta conviene pensarla come una catena: prima prepari l’infrastruttura, poi abiliti la sincronizzazione device, infine verifichi che i client Windows abbiano i requisiti per auto-registrarsi. Se salti la verifica finale, rischi di scoprire il problema solo quando serve Conditional Access o SSO su Office 365.

Prerequisiti reali, non teorici

Prima di toccare Azure AD Connect, controlla questi punti. Sono quelli che in pratica bloccano più spesso il join ibrido.

  1. Client Windows 10/11 o Windows Server supportati, con accesso al dominio e ora di sistema corretta.

  2. Azure AD Connect installato su server membro o domain-joined, non su controller di dominio se vuoi ridurre rischi operativi.

  3. Azure AD tenant già verificato e accesso amministrativo per configurare il servizio di sincronizzazione.

  4. Connettività in uscita verso gli endpoint Microsoft necessari per Azure AD, AutoEnroll e device registration.

  5. Oggetti computer presenti nell’OU inclusa nella sincronizzazione, altrimenti il dispositivo non entra nel perimetro gestito.

Se hai un proxy, un firewall applicativo o restrizioni egress, non dare per scontato che “internet c’è”: il client deve raggiungere endpoint specifici, non solo navigare. Quando il join fallisce in modo intermittente, spesso la causa è qui e non in Azure AD Connect.

Cosa fa davvero Azure AD Connect nel join ibrido

AAD Connect non “join-a” direttamente ogni PC. Pubblica nel tenant i metadati necessari e, soprattutto, configura lo Service Connection Point in Active Directory. Il client Windows legge lo SCP, capisce dove registrarsi, contatta Azure AD e completa la registrazione del device. Se lo SCP non è scritto correttamente, il client non sa dove andare o prova la strada sbagliata.

In altre parole: AAD Connect prepara il terreno, i client fanno il lavoro finale. Per questo motivo la verifica non va fatta solo sul server di sincronizzazione, ma anche su un endpoint reale appartenente al dominio.

Configurare Hybrid Azure AD Join in Azure AD Connect

La procedura varia leggermente in base alla versione di Azure AD Connect, ma la logica resta la stessa. Se hai già una sincronizzazione in produzione, tratta il cambio come una modifica controllata: backup della configurazione, finestra di manutenzione minima e verifica su un gruppo pilota prima di estendere a tutto il parco.

  1. Apri Azure AD Connect sul server di sincronizzazione.

  2. Seleziona Configure.

  3. Avvia Configure device options.

  4. Autenticati con un account che abbia privilegi adeguati sia in AD locale sia nel tenant Azure.

  5. Seleziona Configure Hybrid Azure AD join.

  6. Scegli il forest corretto e il sistema operativo target: in genere Windows 10 or later domain-joined devices.

  7. Conferma il tenant e lascia che il wizard scriva lo SCP nel dominio selezionato.

  8. Completa la procedura e annota eventuali warning: non ignorarli, perché spesso indicano permessi insufficienti o OU non raggiungibili.

Se preferisci verificare da CLI che lo SCP sia stato creato, puoi ispezionare l’oggetto di configurazione in Active Directory. Il percorso varia in base alla struttura del dominio, ma l’idea è controllare che esista il riferimento al tenant e al servizio di registrazione dispositivi.