In questo articolo Indice dei contenuti 3 sezioni
Con l’arrivo di Windows 11 26H2 Microsoft ha pubblicato anche i nuovi template amministrativi ADMX e il foglio di riferimento che raccoglie migliaia di criteri gestibili tramite le Group Policy. Sembrerebbe materiale riservato agli amministratori di dominio, eppure scorrendo le nuove impostazioni emergono parecchi indizi sulle novità del sistema operativo. C’è più controllo sugli agenti AI, maggiore attenzione alle passkey e un giro di vite su NTLM, oltre a interventi su BitLocker, WinRE, Desktop remoto, Microsoft Defender e Windows Update. L’aggiornamento è disponibile dal 29 settembre 2026 e viene distribuito in modo progressivo ai sistemi compatibili, con la build 26300.9550 come riferimento per la prima disponibilità generale.
Cosa sono i file ADMX e quali criteri arrivano con Windows 11 26H2
I file ADMX sono documenti XML che descrivono i criteri amministrativi disponibili in Windows. Non applicano direttamente alcuna configurazione ma stabiliscono quali impostazioni si possono modificare, dove compaiono nell’editor e quali chiavi del Registro vengono toccate. Sono in pratica le fondamenta su cui poggiano strumenti come l’Editor Criteri di gruppo locali (gpedit.msc) e la Group Policy Management Console. Installando il pacchetto MSI i template finiscono in una cartella di destinazione e su un PC locale vanno poi portati in C:WindowsPolicyDefinitions. In un dominio Active Directory conviene invece aggiornare il Central Store in SYSVOL così che tutti gli amministratori vedano gli stessi criteri. L’installazione da sola non cambia nulla nel comportamento del sistema, perché una funzione si modifica solo quando qualcuno configura la policy corrispondente. Un dettaglio utile riguarda chi prepara script e personalizzazioni, dato che aprendo i file con un semplice editor di testo si leggono in chiaro chiavi e valori del Registro coinvolti.
Il foglio ufficiale raccoglie oltre 4.700 Administrative Templates e la colonna New in Windows consente di filtrare quelli introdotti con una specifica versione. Con Windows 11 26H2 le nuove voci sono 35 e alcune toccano componenti piuttosto strategici dell’architettura.
Agenti AI, MCP e passkey sotto il controllo degli amministratori
Nel file cam_ai.admx compaiono tre impostazioni dedicate agli agenti AI. Configure Agent Connectors permette di abilitare o disabilitare gli Agent Connector, mentre Agent Consent Duration fissa per quanto tempo resta valido il consenso dato dall’utente a una capacità usata da un agente. Il periodo va da un’ora a 8.760 ore, cioè un anno, e senza configurazione il valore predefinito è di 720 ore, pari a 30 giorni. Il consenso quindi non è per forza permanente ma può avere una scadenza decisa a livello amministrativo.
La novità tecnicamente più rilevante è Agent Connector Access Policy, che porta il Model Context Protocol dentro le politiche di gruppo. MCP è il protocollo pensato per consentire a modelli e agenti di accedere in modo strutturato a strumenti, applicazioni e fonti di dati. La policy accetta una stringa JSON con cui definire quali collegamenti tra MCP host e MCP server siano ammessi. Se il criterio resta non configurato un host può collegarsi a un server dopo aver ottenuto il consenso dell’utente.
Arrivano poi due criteri sulle passkey, Let Windows apps access passkeys e Let Windows apps autofill passkeys. Il controllo può essere globale oppure riferito alla singola app tramite il Package Family Name, con tre modalità che vanno dalla scelta lasciata all’utente all’autorizzazione forzata fino al blocco. Le due decisioni restano separate e un’app potrebbe accedere alle passkey senza proporle automaticamente. Lo stesso schema vale per Let Windows apps access text content from foreground applications, che regola la lettura del testo mostrato dall’applicazione in primo piano, un permesso utile a un agente per offrire suggerimenti contestuali ma piuttosto delicato sul fronte della sicurezza.
NTLM, BitLocker e Desktop remoto: le novità sul fronte sicurezza
Con NTLM Enhanced Blocking Microsoft prosegue il lavoro per ridurre la dipendenza da NTLM, introducendo blocchi più granulari basati sul tipo di account, sul ruolo del computer e sull’applicazione coinvolta. Prima di intervenire è possibile attivare la modalità Audit per registrare gli eventi che sarebbero stati rifiutati, così da scovare servizi legacy o procedure dimenticate da anni.
Sul versante BitLocker la policy Disable BitLocker trust of Windows Recovery Environment (WinRE) elimina la fiducia automatica verso l’ambiente di ripristino, che a quel punto dovrà chiedere la chiave per accedere al volume cifrato. L’isolamento cresce ma funzioni come Ripristino all’avvio, Quick Machine Recovery e Push button Recovery, insieme ad alcune operazioni MDM di reset o cancellazione remota, potrebbero richiedere un intervento manuale. Collegata a questo tema c’è Allow offline scan from trusted Windows Recovery Environment, che consente a Microsoft Defender Offline di eseguire la scansione da un WinRE ritenuto affidabile senza la chiave di ripristino.
Per il Desktop remoto il criterio sui certificati dei file .rdp firmati supporta ora gli hash SHA256, SHA384 e SHA512, mentre SHA1 verrà disabilitato di default con un futuro aggiornamento di sicurezza. Due nuove policy infine permettono di controllare il montaggio di volumi ReFS su dischi USB, IEEE 1394 e unità collegabili a caldo, visto che Microsoft ricorda come ReFS non sia una configurazione supportata per le unità rimovibili.
Fonte: TecnoAndroid
