1 03/11/2026 8 min

Disattivare la condivisione stampanti su macOS con Intune è una di quelle modifiche che sembrano banali finché non ci si scontra con tre variabili: versione di macOS, tipo di profilo usato e precedenza tra impostazioni locali e gestione MDM. In pratica, l’obiettivo non è solo togliere l’opzione dalla UI, ma impedire che un utente possa pubblicare una stampante sulla rete dal pannello di Condivisione o da CUPS, mantenendo il controllo centralizzato e riducendo la superficie di esposizione del Mac.

La strada corretta dipende dal risultato che vuoi ottenere. Se ti basta impedire la condivisione tra utenti del singolo Mac, puoi lavorare su un profilo di restrizione. Se invece vuoi impedire anche configurazioni manuali o eccezioni locali, conviene affiancare la policy a un controllo di compliance e a una verifica periodica dello stato del servizio di stampa. Il punto chiave è non confondere la stampa locale con la condivisione della stampante: il Mac può continuare a stampare senza per questo esportare la coda in rete.

Che cosa va spento davvero

Su macOS la condivisione stampanti passa dal pannello Impostazioni di Sistema > Generali > Condivisione, ma sotto il cofano entra in gioco anche il sottosistema di stampa. Per questo, in ambiente gestito, non basta dire all’utente di non toccarla: serve una policy che limiti l’abilitazione del servizio o che ne impedisca la modifica persistente. Se lasci il blocco solo a livello di interfaccia, un utente con privilegi sufficienti o una configurazione locale preesistente possono aggirare la restrizione.

La verifica iniziale è semplice: da un Mac test, apri il pannello di Condivisione e controlla se Condivisione stampante risulta disattivata e non modificabile. Se è ancora attivabile, la policy non sta imponendo il vincolo oppure il profilo non è arrivato correttamente al dispositivo. Se invece l’opzione appare spenta ma la stampante è ancora esposta in rete, il problema è più profondo e va cercato nella configurazione di CUPS o in un profilo concorrente.

Impostazione corretta in Intune

In Intune, il modo più lineare è usare un profilo di configurazione per macOS con un payload di restrizione o un profilo personalizzato, a seconda di come è organizzato il tuo tenant e di quali impostazioni sono disponibili nel catalogo. L’obiettivo è applicare una configurazione che disabiliti la condivisione stampanti senza toccare il resto del parco stampa. In molti ambienti, la via più robusta è separare la policy di hardening da quella di gestione delle stampanti, così da poter intervenire senza effetti collaterali sull’intero profilo utente.

Se il catalogo impostazioni del tuo tenant espone il controllo specifico, usa quello prima di ricorrere a un profilo personalizzato. Il vantaggio è duplice: hai una policy più leggibile e riduci il rischio di errori nei payload. Se invece il controllo non è disponibile o non si comporta come atteso sulla tua versione di macOS, il profilo personalizzato resta la soluzione più precisa, ma richiede più attenzione nel test e nella documentazione interna.

Verifica del comportamento atteso prima del rollout

Prima di estendere la modifica a tutta l’organizzazione, fai un test su un gruppo pilota ristretto. L’atteso è questo: il Mac riceve il profilo, l’opzione di condivisione stampanti resta disabilitata o non modificabile, e la stampante locale continua a funzionare per l’utente. Se il dispositivo mostra ancora la possibilità di condividere, controlla se c’è un conflitto tra profili assegnati, un vecchio profilo ancora installato o un ritardo nella sincronizzazione con Intune.

Il controllo più utile è incrociare tre segnali: stato del profilo in Intune, stato della policy sul Mac e comportamento della UI. Se il profilo risulta Succeeded ma l’impostazione non cambia, il problema può essere nella compatibilità del payload con la versione di macOS. Se il profilo non viene proprio applicato, la causa è quasi sempre nell’assegnazione, nel filtro per gruppo o nella registrazione del dispositivo. Se la UI è corretta ma la condivisione è ancora attiva in rete, serve un controllo sul demone di stampa e sui file di configurazione locali.

Approccio operativo consigliato

In pratica conviene procedere in tre passi. Primo: crea o modifica il profilo in Intune e assegnalo solo a un gruppo di test. Secondo: verifica dal Mac che la policy sia arrivata e che l’impostazione sia effettiva nella sezione Condivisione. Terzo: solo dopo il riscontro sul campo, estendi il target al resto del parco. È una modifica a blast radius contenuto, ma se la applichi a tutti senza test rischi di scoprire troppo tardi che una certa release di macOS interpreta diversamente il payload o che un profilo precedente sta ancora vincendo per precedenza.

Se vuoi essere ancora più prudente, documenta prima lo stato iniziale: quali Mac hanno la condivisione stampanti abilitata, su quali gruppi è già presente un profilo di restrizione e quali versioni di macOS sono coinvolte. Questa fotografia iniziale aiuta molto quando devi capire se un problema è reale o se stai vedendo un ritardo di propagazione. In ambienti con molti device, la differenza tra un errore di policy e una semplice latenza di sync fa risparmiare ore.

Conflitti tipici da tenere d’occhio

Il primo conflitto classico è il doppio profilo: uno disabilita la condivisione, un altro la riabilita indirettamente o imposta valori non coerenti. Il secondo è la differenza tra dispositivo e utente: se la restrizione è assegnata al gruppo sbagliato, il Mac riceve il profilo ma non lo applica nel contesto corretto. Il terzo è la versione del sistema operativo: alcune modifiche di sicurezza o gestione preferenze cambiano comportamento tra major release, quindi non dare per scontato che una policy valida su una versione funzioni identica su un’altra.

Un altro punto spesso trascurato è la persistenza di impostazioni locali già presenti. Se il Mac era stato configurato manualmente prima della gestione via Intune, potresti trovarti con uno stato iniziale incoerente. In questi casi la policy deve non solo imporre il nuovo valore, ma anche ripulire il vecchio stato. Quando non succede, il sintomo tipico è una UI che mostra l’opzione disattivata ma un comportamento non allineato. È lì che vale la pena controllare i log locali e la presenza di profili concorrenti.

Che cosa controllare sul Mac

La verifica sul dispositivo deve restare semplice e ripetibile. Controlla prima il pannello di Condivisione nelle impostazioni di sistema, poi verifica se la stampante risulta ancora pubblicata sulla rete. Se hai accesso amministrativo, puoi anche osservare i log di sistema relativi alla gestione profili e al servizio di stampa per capire se la policy è stata applicata o rifiutata. Non serve scavare subito in profondità: il primo obiettivo è capire se il problema è di distribuzione, di applicazione o di comportamento del servizio.

Se il profilo arriva ma non cambia nulla, la causa più probabile è un payload non supportato, un conflitto o una limitazione della build di macOS. Se invece il profilo non arriva, il problema è quasi certamente a monte: assegnazione, sincronizzazione, enrollment o filtro di gruppo. Se la policy arriva e la UI cambia, ma la stampante continua a essere annunciata in rete, allora il controllo va spostato sul servizio di stampa e sulla eventuale configurazione locale residua.

Rollback pulito se qualcosa non torna

Il rollback deve essere altrettanto ordinato della modifica. Se la policy crea un effetto indesiderato, rimuovila dal gruppo pilota prima di toccare il resto dell’assegnazione. Su Intune questo ti permette di verificare rapidamente se il problema scompare senza dover intervenire manualmente su ogni Mac. Il blast radius resta limitato al gruppo coinvolto, e il ritorno allo stato precedente è immediato dal lato gestione centrale.

Se hai bisogno di ripristinare temporaneamente la condivisione per un reparto o per un caso d’uso specifico, meglio creare un gruppo di eccezione ben documentato invece di aprire il vincolo per tutti. In questo modo il rollback non diventa una deroga permanente. La regola pratica è semplice: ogni eccezione deve avere proprietario, motivazione e scadenza, altrimenti finisce per trasformarsi in una falla di governance.

Buone pratiche per non doverci tornare sopra

La differenza tra una configurazione stabile e una che si rompe al primo aggiornamento sta quasi sempre nella documentazione. Annotare quale profilo disabilita la condivisione stampanti, a quale gruppo è assegnato e su quali versioni di macOS è stato validato ti evita il classico problema del “funziona su alcuni Mac ma non su altri”. Se gestisci più sedi o più linee di business, tieni separati i gruppi di assegnazione per ridurre i conflitti tra policy generali e requisiti locali.

Conviene anche definire una verifica periodica. Non serve una procedura pesante: basta controllare a campione che la condivisione stampanti resti disabilitata sui dispositivi gestiti e che non compaiano profili inattesi. In ambienti maturi, il controllo periodico vale più della correzione d’emergenza perché intercetta regressioni, nuovi dispositivi non conformi e conflitti introdotti da aggiornamenti del sistema o da nuove policy di sicurezza.

Quando serve un controllo più stretto

Se il tuo contesto è regolato o molto esposto, la sola disattivazione della condivisione non basta sempre. In quel caso ha senso affiancare controlli di conformità, limitazioni sui privilegi locali e un minimo di audit sulle modifiche ai profili. Non si tratta di irrigidire tutto, ma di evitare che una singola eccezione riapra una superficie di attacco che avevi appena chiuso. Su macOS, come su altri endpoint gestiti, la sicurezza non sta nel singolo toggle ma nella coerenza tra policy, privilegi e monitoraggio.

Se vuoi ridurre il rischio operativo, il criterio migliore resta sempre lo stesso: modifica piccola, test su gruppo ristretto, verifica sul dispositivo, estensione solo dopo conferma. È il modo più sobrio per gestire una restrizione che sembra semplice ma tocca un’area delicata del sistema, cioè la relazione tra impostazioni utente, servizi locali e controllo centralizzato via MDM.