In questo articolo Indice dei contenuti 2 sezioni
Protezione amministratore è la funzione che Microsoft sta portando alla disponibilità generale su Windows 11, e l’idea di fondo è semplice quanto radicale: togliere all’utente i privilegi da amministratore durante l’uso quotidiano e restituirglieli solo per il tempo strettamente necessario a completare un’operazione. Niente poteri elevati sempre accesi, insomma. Dopo una fase di test servita a mettere a punto sia il comportamento della tecnologia sia gli strumenti per gestirla, la funzione arriva ora sulle edizioni client supportate, con qualche eccezione che vale la pena conoscere prima di procedere.
Il progetto era stato presentato nel 2024 e poggia su un principio che in sicurezza informatica è quasi un mantra, il least privilege. Tradotto in parole povere: meno autorizzazioni restano permanentemente disponibili sul sistema, meno superficie di attacco resta a disposizione di un software compromesso. È una logica difensiva che ribalta l’abitudine di anni, quella dell’account amministratore usato anche solo per navigare o aprire la posta.
Come lavora davvero il nuovo modello di elevazione
Durante una normale sessione, Windows assegna all’utente un token privo di diritti amministrativi. Quando un’applicazione deve mettere le mani su componenti che richiedono autorizzazioni superiori, scatta la richiesta di conferma tramite Windows Hello. Solo a quel punto il sistema genera un token amministrativo temporaneo, legato al processo specifico che ha chiesto l’elevazione.
Dietro le quinte Microsoft si appoggia a un account amministrativo nascosto, creato e gestito direttamente dal sistema operativo, con un profilo separato rispetto a quello dell’utente. Il dettaglio importante arriva alla fine dell’operazione: il token privilegiato non sopravvive. Per una nuova azione che richiede diritti elevati bisogna ripetere l’autorizzazione da capo. Questa separazione riduce concretamente la possibilità che un processo già in esecuzione con permessi ordinari riesca a recuperare in automatico un’identità amministrativa ottenuta in precedenza.
Qui sta anche la differenza sostanziale rispetto al classico User Account Control. Non si tratta soltanto di aggiungere una finestra di conferma davanti a un’azione delicata. Protezione amministratore cambia il modo in cui Windows tratta l’identità amministrativa lungo tutta la sessione: l’autorizzazione diventa una risorsa a tempo, agganciata alla singola operazione, e non più una caratteristica sempre pronta all’uso.
Gestione centralizzata, compatibilità e ambienti ancora esclusi
Chi amministra parchi macchine aziendali troverà interessante la parte relativa al controllo centralizzato. La configurazione passa da Microsoft Intune, dai Criteri di gruppo e dai Configuration Service Provider, oltre alle impostazioni locali di Sicurezza di Windows nelle configurazioni che espongono il relativo controllo. L’attivazione, va detto, richiede il riavvio del dispositivo.
Sul fronte della compatibilità, la documentazione indica la disponibilità per Windows 11 Home, Pro, Enterprise ed Education. Il rilascio procede in modo graduale e non tutti gli scenari sono considerati equivalenti: i Windows 365 Cloud PC e gli host Azure Virtual Desktop restano fuori dalla disponibilità attuale, mentre il supporto per questi ambienti e per Windows Server è previsto in una fase successiva.
Un’ultima avvertenza riguarda le applicazioni, e non è un dettaglio da poco. Un programma scritto dando per scontata la presenza costante di un profilo amministrativo potrebbe comportarsi in modo imprevisto e richiedere verifiche o modifiche. La stessa Microsoft consiglia di testare il comportamento del software in uso prima di estendere la protezione amministrativa a un’intera organizzazione.
Fonte: TecnoAndroid
