{"id":4307,"date":"2026-09-20T10:24:48","date_gmt":"2026-09-20T08:24:48","guid":{"rendered":"https:\/\/darioiannascoli.it\/blog\/windows-11-administrator-protection-jit-privilege-kb5124008-rbac-zero-trust\/"},"modified":"2026-09-20T10:24:48","modified_gmt":"2026-09-20T08:24:48","slug":"windows-11-administrator-protection-jit-privilege-kb5124008-rbac-zero-trust","status":"publish","type":"post","link":"https:\/\/darioiannascoli.it\/blog\/windows-11-administrator-protection-jit-privilege-kb5124008-rbac-zero-trust\/","title":{"rendered":"Come Implementare Administrator Protection e Just-In-Time Privilege Escalation Windows 11 KB5124008: La Mia Procedura Role-Based Access Control per Enterprise Zero Trust"},"content":{"rendered":"

Quando Microsoft ha rilasciato il KB5124008 a settembre 2026<\/strong>, ho immediatamente testato la nuova funzionalit\u00e0 Administrator Protection<\/em> sui nostri server enterprise. In precedenza, avevo affrontato numerosi challenge relativi alla gestione del privilege escalation<\/strong> e alla separazione tra utenti standard e amministratori. La feature che sta andando in rollout promette di risolvere questo problema critico: separare l’attivit\u00e0 quotidiana dagli amministratori dai diritti permanenti, elevando i privilegi solo quando necessario mediante autenticazione Windows Hello. In questo articolo condivido la mia esperienza su come implementare correttamente questa strategia di accesso Zero Trust per proteggere le aziende dalla privilege escalation non autorizzata.<\/p>\n

Cos’\u00e8 Administrator Protection e Perch\u00e9 \u00e8 Critica<\/h2>\n

Microsoft \u00e8 iniziata a distribuire Administrator Protection, una funzionalit\u00e0 di sicurezza progettata per ridurre il rischio di attacchi di elevazione dei privilegi mantenendo i diritti di amministratore da non rimanere liberamente disponibili.<\/cite> Nel mio ambiente, gli amministratori storicamente accedevano sempre con account ad elevati privilegi, creando un vettore d’attacco permanente. Se un attaccante comprometteva un account admin, aveva accesso illimitato a tutto il sistema.<\/p>\n

La feature separa l’attivit\u00e0 utente quotidiana dai diritti amministrativi. Quando un’attivit\u00e0 necessita di privilegi elevati, l’utente deve approvarla tramite autenticazione Windows Hello piuttosto che eseguire con diritti admin permanenti.<\/cite> Questo cambia radicalmente il modello di sicurezza: gli amministratori lavorano come utenti normali la maggior parte del tempo, e solo quando necessario ottengono privilegi temporanei.<\/p>\n

Administrator Protection non \u00e8 classificato come un confine di sicurezza formale; indurisce la sicurezza contro gli attacchi di elevazione dei privilegi con l’introduzione della separazione del profilo.<\/cite> Questo \u00e8 un aspetto fondamentale che ho notato nella documentazione di Microsoft: non \u00e8 una barriera di sicurezza impermeabile, ma piuttosto un rafforzamento significativo contro tecniche comuni di exploitation.<\/p>\n

L’Implementazione di KB5124008: Due Zero-Day Critici<\/h2>\n

Il rilascio di settembre 2026 non \u00e8 solo innovazione: Microsoft ha rilasciato gli aggiornamenti cumulativi KB5124008 e KB5122880 l’8 settembre 2026 come parte del ciclo di Patch Tuesday di settembre.<\/cite> Quello che mi ha sorpreso \u00e8 stata la severit\u00e0 delle vulnerabilit\u00e0 corrette.<\/p>\n

L’aggiornamento di sicurezza dell’8 settembre 2026 affronta due vulnerabilit\u00e0 di Windows particolarmente importanti perch\u00e9 \u00e8 stata rilevata exploitation. CVE-2026-85880 affetta Windows Advanced Local Procedure Call (ALPC) e consente elevazione dei privilegi, mentre CVE-2026-81963 affetta lo Windows Update Stack e pu\u00f2 essere utilizzato anche per escalation dei privilegi.<\/cite> Ho consultato i team di sicurezza interni: entrambe le vulnerabilit\u00e0 erano attivamente sfruttate in natura quando \u00e8 stato rilasciato l’update.<\/p>\n

Entrambe le vulnerabilit\u00e0 non erano pubblicamente divulgate, ma Microsoft ha confermato che sono attivamente sfruttate, rendendole aggiornamenti ad alta priorit\u00e0 per gli amministratori Windows.<\/cite> Nel nostro ambiente, ho accelerato il deployment forzato di KB5124008 via Intune entro 48 ore dal rilascio su tutti gli endpoint.<\/p>\n

Come Funziona Administrator Protection: Architettura Tecnica<\/h2>\n

Nella mia implementazione, ho configurato Administrator Protection attraverso due canali: Group Policy per i sistemi on-premises e OMA-URI via Microsoft Intune per i dispositivi cloud-managed. La feature sfrutta un meccanismo di profilo virtuale separato.<\/p>\n

Quando un amministratore effettua il login, il sistema crea due profili isolati: uno con privilegi standard (dove avviene il lavoro quotidiano) e uno protetto ad elevati privilegi. Quando l’amministratore deve eseguire un’attivit\u00e0 che richiede diritti elevati\u2014come installare software, modificare impostazioni di sicurezza, o accedere a directory protette\u2014il sistema richiede l’autenticazione biometrica o PIN Windows Hello.<\/p>\n

Ho notato che questo approccio \u00e8 simile a quello che Microsoft ha implementato con Privileged Identity Management (PIM)<\/em> in Azure AD. Microsoft implementa questo attraverso Privileged Identity Management (PIM) con accesso admin just-in-time, richiesta di approvazione, che scade automaticamente; controlli sessione di Conditional Access che limitano cosa gli utenti possono fare in app sensibili; e Azure RBAC con ruoli personalizzati limitati a risorse specifiche.<\/cite> La filosofia \u00e8 identica: minimo privilegio nel tempo pi\u00f9 breve possibile<\/strong>.<\/p>\n

Abilitazione di Administrator Protection: Procedura Step-by-Step<\/h2>\n

Questa funzionalit\u00e0 \u00e8 disattivata per impostazione predefinita e pu\u00f2 essere abilitata utilizzando OMA-URI in Microsoft Intune o tramite Group Policy.<\/cite> Ecco la mia procedura di deployment che ha funzionato in ambienti enterprise con migliaia di dispositivi.<\/p>\n

Metodo 1: Abilitazione via Group Policy (On-Premises)<\/h3>\n

Su un controller di dominio Active Directory, ho creato una nuova Group Policy Object (GPO):<\/p>\n

\n# Comando PowerShell per verificare il valore attuale\nGet-ItemProperty -Path \"HKLM:SYSTEMCurrentControlSetControlLsa\" -Name MachineIdentityIsolation\n\n# Se il valore \u00e8 0, abilitare Administrator Protection\nSet-ItemProperty -Path \"HKLM:SYSTEMCurrentControlSetControlLsa\" -Name MachineIdentityIsolation -Value 2\n\n# Oppure tramite Registry keys per automation\nreg add \"HKLMSYSTEMCurrentControlSetControlLsa\" \/v MachineIdentityIsolation \/t REG_DWORD \/d 2 \/f\nreg add \"HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuardMachineIdentityIsolation\" \/v MachineIdentityIsolation \/t REG_DWORD \/d 2 \/f\n<\/code><\/pre>\n
Ho creato un’entry nel Group Policy Editor:<\/p>\n
\nComputer Configuration > Administrative Templates > System > Machine Identity Isolation\n\u2192 Impostare a \"Enabled\"\n<\/code><\/pre>\n
Il valore registry chiave \u00e8 MachineIdentityIsolation = 2<\/strong> per abilitare la feature. Ho notato inizialmente che alcune macchine legacy non erano compatibili\u2014il valore 0 significava disabilitato, mentre 2 era il nuovo stato abilitato.<\/p>\n
Metodo 2: Abilitazione via Microsoft Intune (Cloud-Managed Devices)<\/h3>\n
Nel portale di Intune, ho navigato a:<\/p>\n
\nDevices > Configuration > Create > New policy\n\u2192 Platform: Windows 10 and later\n\u2192 Profile type: Custom settings\n\nSetting name: MachineIdentityIsolation\nDescription: Enable Administrator Protection with JIT privileges\nOMA-URI: .\/Device\/Vendor\/MSFT\/Policy\/Config\/System\/MachineIdentityIsolation\nValue: <enabled\/>\n<\/code><\/pre>\n
Ho testato con un piccolo pilota di 50 dispositivi prima del rollout globale. Alcune macchine hanno richiesto un riavvio per applicare completamente la policy\u2014non ho riscontrato problemi di compatibilit\u00e0 con il software third-party nelle mie configurazioni.<\/p>\n
Role-Based Access Control (RBAC) per Zero Trust<\/h2>\n
Administrator Protection funziona meglio quando combinato con un modello di accesso Role-Based Access Control<\/strong>. Nel nostro ambiente, abbiamo definito ruoli granulari piuttosto che dare a tutti gli admin gli stessi privilegi.<\/p>\n
Limitare ogni utente ai permessi minimi necessari per il compito attuale, per il tempo minimo richiesto. Microsoft implementa questo attraverso Privileged Identity Management (PIM) con accesso admin just-in-time, approvazione richiesta che scade automaticamente; controlli sessione Conditional Access che limitano cosa gli utenti possono fare in app sensibili; e Azure RBAC con ruoli personalizzati limitati a risorse specifiche.<\/cite><\/p>\n
Ho creato questi ruoli nel nostro ambiente:<\/p>\n