Questa referenza spiega ogni stato di problema che puoi incontrare nella pagina Compliance > Problemi di compliance: cosa sta effettivamente segnalando il dispositivo, le cause dietro di esso su macOS e Windows, e come risolverlo. Per scegliere quali stati sollevano problemi, vedere Configura le impostazioni dei problemi di compliance; per il flusso di lavoro di triage stesso, vedere Triage dell'elenco dei problemi.

Le piattaforme mobili (iOS, iPadOS, Android) e Linux sono coperte da un sottoinsieme di queste regole — vedere Piattaforme supportate per cosa si applica dove.

Come Factorial IT decide che un dispositivo non è conforme

• Ogni volta che un dispositivo si sincronizza, Factorial IT riesegue ogni regola di compliance e calcola uno stato per regola — non c'è una scansione separata.
• Un dispositivo solleva un problema solo se il suo stato attuale è uno di quelli impostati per sollevare un problema in Compliance > Impostazioni dei problemi di compliance. Uno stato impostato su Off non solleva mai nulla.
• I problemi si risolvono automaticamente alla successiva sincronizzazione una volta che lo stato migliora. Non c'è riconoscimento o chiusura manuale.

Vedi Panoramica della compliance per il modello di valutazione completo.

Escludere prima i dati obsoleti

Uno stato di compliance è un'istantanea dall'ultima sincronizzazione del dispositivo. Prima di trattare un problema come una vera violazione, controlla se i dati sono obsoleti:

Stato di registrazione

Una regola globale che si applica a ogni dispositivo gestito. Controlla se il dispositivo è completamente registrato e se l'agente MDM comunica ancora con il server.

Perché i dispositivi escono dalla registrazione

Cause che si applicano a entrambe le piattaforme:

• L'impiegato non ha completato tutti i passaggi di registrazione, o non è rimasto connesso a lungo abbastanza per terminare la sincronizzazione.
• L'agente è stato disinstallato manualmente, o un aggiornamento di sistema o un errore di configurazione ha corrotto l'installazione.
• Il servizio osqueryd utilizzato dall'agente si è fermato, o l'agente non riesce ad avviarsi a causa di problemi di autorizzazione.
• Il dispositivo si trova su una rete che blocca l'accesso al server MDM — un proxy o un firewall interrompe la comunicazione. Vedi Requisiti di rete.

macOS

• Un utente amministratore può rimuovere un profilo MDM sbloccato dalle Impostazioni di sistema. Il dispositivo quindi segnala MDM_OFF anche se l'agente potrebbe ancora rispondere.
• Un token APNs scaduto o revocato impedisce al dispositivo di convalidare il suo profilo — il profilo diventa non valido senza che nessuno tocchi il dispositivo.
• Un'azione disattiva mdm eseguita dal lato del server MDM rimuove la gestione.
• L'installazione dell'agente Factorial IT è incompleta — la causa più comune di registrazione parziale su macOS.

Windows

• Il dispositivo è ancora registrato in un MDM precedente e segnala MDM_ON_IN_ANOTHER_MDM — migra fuori dal vecchio MDM prima di ri-registrarlo.
• Un proxy o un firewall aziendale che blocca la connessione al server lascia un agente installato muto (MISSING_AGENT).

Risolvi i problemi di registrazione

• MISSING_AGENT — nel pannello del dispositivo, fai clic sul pulsante di stato del dispositivo per attivare a distanza l'installazione dell'agente. Se ciò non riesce, chiedi all'impiegato di aprire la loro pagina di registrazione Factorial IT, fare clic sul dispositivo assegnato e scaricare l'agente.
• MDM_ON_IN_ANOTHER_MDM — migra prima il dispositivo dal precedente MDM.
• MDM_OFF — chiedi all'impiegato di ri-registrarsi. Puoi automatizzare questo: in MDM > Impostazioni, imposta Disiscrizione automatica su un ritardo offline e attiva Invita l'impiegato a ri-registrarsi.

Consenti fino a 30 minuti affinché lo stato si aggiorni dopo la correzione. Dettagli completi: Risolvi i problemi di registrazione.

Stato online

Una regola globale che tiene traccia se il dispositivo si registra con il server.

Perché i dispositivi vanno offline

• Il dispositivo è spento o in standby — un impiegato in congedo, o un spare seduto in un cassetto.
• La rete blocca la connessione dell'agente al server (VPN, proxy, regole del firewall). Vedi Requisiti di rete.
• L'agente non è più in esecuzione. Un dispositivo che appare offline mentre è attivamente utilizzato da un impiegato indica tipicamente un agente mancante o un problema di rete, non un dispositivo realmente offline — controlla il problema di stato di registrazione per lo stesso dispositivo.

Risolvi i problemi online

Conferma con l'impiegato se il dispositivo è in uso. Se lo è, trattalo come un caso di MISSING_AGENT (vedi sopra). Se il rumore proviene da brevi interruzioni, solleva problemi solo su Offline 7+ giorni.

Supporto della piattaforma

Una regola globale che controlla il sistema operativo del dispositivo rispetto alla baseline Factorial IT supporta come fonte di segnale MDM. Un dispositivo al di sotto di quella baseline non può registrarsi, segnalare telemetria o rispettare le politiche in modo affidabile — questo problema è la tua lista di aggiornamento.

MEETS_REQUIREMENTS è lo stato conforme. La regola rimane silenziosa fino a quando il dispositivo non ha segnalato le sue informazioni sul sistema operativo, quindi un dispositivo appena registrato non viene mai contrassegnato come sconosciuto.

Risolvi i problemi di supporto della piattaforma

• BELOW_MINIMUM_VERSION — aggiorna il sistema operativo. Le attuali baseline per piattaforma sono elencate in Piattaforme supportate.
• UNSUPPORTED_OS_EDITION — aggiorna l'edizione, non solo la versione: vedi limitazioni di Windows Home e Aggiorna a Windows 11.

Crittografia

Controlla la crittografia del disco completo: FileVault su macOS, BitLocker su Windows. La crittografia non è attivata per impostazione predefinita — inizia quando abiliti il controllo Crittografia disco, che si applica globalmente ai dispositivi registrati una volta creato.

ENCRYPTED è lo stato conforme. I dispositivi iOS e iPadOS segnalano sempre ENCRYPTED — il loro storage è crittografato a livello hardware per design. Un dispositivo Windows Home non solleva alcuno stato di crittografia: non può eseguire BitLocker e appare sotto il supporto della piattaforma come UNSUPPORTED_OS_EDITION invece.

macOS

• FileVault si attiva una volta che il controllo di crittografia del disco si rivolge al dispositivo, ma la crittografia entra in vigore solo dopo il successivo riavvio. Un Mac che non si riavvia mai rimane NOT_ENCRYPTED — chiedi all'impiegato di riavviare.
• La chiave di recupero è custodita entro 24 ore dopo quel riavvio. Un Mac appena crittografato che mostra MISSING_RECOVERY_KEY in quella finestra si risolve da solo.
• Un Mac crittografato prima della registrazione ha una chiave Factorial IT non ha mai visto — la custodia non è retroattiva. L'impiegato deve inserire la propria password quando richiesto affinché una nuova chiave possa essere generata e custodita (ACTION_REQUIRED).

Windows

• BitLocker inizia a crittografare non appena il controllo raggiunge il dispositivo, senza necessità di riavvio, e la chiave viene memorizzata non appena la crittografia si attiva. Un dispositivo Windows bloccato su NOT_ENCRYPTED di solito ha un blocco, non un ritardo.
• BitLocker ha bisogno di un TPM funzionante. Un TPM mancante o disabilitato nel firmware fa sì che la crittografia non parta.

Dettagli di controllo: Crittografia disco.

Aggiornamento del sistema operativo

Controlla che i dispositivi installino gli aggiornamenti del sistema operativo richiesti entro la scadenza che imponi.

UP_TO_DATE è lo stato conforme. Tra il rilascio di un aggiornamento e la sua scadenza, il dispositivo rimane conforme — NOT_UP_TO_DATE scatta solo una volta che la scadenza è passata. Un dispositivo il cui sistema operativo è troppo vecchio per Factorial IT stesso è un problema di supporto della piattaforma, non un problema di aggiornamento del sistema operativo.

Perché i dispositivi rimangono indietro sugli aggiornamenti

• La scadenza conta dalla data di disponibilità dell'aggiornamento, non da quando hai configurato la policy. Abilitare la policy su una flotta che esegue versioni più vecchie contrassegna immediatamente quei dispositivi — aspettati un'ondata di problemi il primo giorno.
• Spazio su disco insufficiente blocca l'aggiornamento su ogni piattaforma, e nessuna di esse libera spazio automaticamente. Su macOS 14+ l'impiegato vede una notifica di sistema; su macOS 13 e versioni precedenti la finestra di Nudge continua a riapparire mentre il download fallisce; su Windows l'impiegato viene informato che l'aggiornamento è fallito. Potrebbe essere necessario l'intervento di un amministratore.
• Il dispositivo era spento quando la scadenza è passata. Su macOS 14+ l'aggiornamento è programmato per 1 ora dopo il riavvio; su Windows l'impiegato riceve il periodo di grazia configurato prima del riavvio automatico.
• L'impiegato continua a rinviare all'interno della finestra consentita — la pressione aumenta man mano che ci si avvicina alla scadenza (notifiche orarie 24 ore prima, più frequenti nell'ultima ora).

Risolvi i problemi di aggiornamento

Fai in modo che l'impiegato liberi spazio su disco se questo è il blocco, quindi lascia che il flusso di applicazione funzioni — si intensifica da solo. Dettagli e il programma di notifica esatto per ogni piattaforma: Applica la versione minima del sistema operativo.

Protezione degli endpoint (SentinelOne, ThreatDown)

Disponibile una volta che l'integrazione corrispondente è connessa. Controlla che l'agente di protezione degli endpoint sia installato e stia segnalando.

ACTIVE è lo stato conforme per entrambi gli strumenti.

Perché i dispositivi appaiono come non protetti

• Il controllo è stato appena abilitato — l'agente si installa al prossimo sincronizzazione del dispositivo.
• L'agente è stato disinstallato localmente o non è in esecuzione.
• L'integrazione stessa è obsoleta. I token utente del servizio SentinelOne scadono; una volta che il token scade, la sincronizzazione si ferma e gli stati di protezione diventano obsoleti a livello di flotta. Crea un nuovo token e contatta il nostro team per sostituirlo. Vedi Rinnova il token utente del servizio.
• Il dispositivo è offline, quindi il suo stato di protezione reale è sconosciuto.

Impostazione e rimedio: SentinelOne, ThreatDown.

Account amministratori (Gestione utenti amministratori, Rotazione password amministratori)

Controlla che l'account amministratore locale gestito esista, abbia i privilegi attesi e ruoti la propria password secondo il programma.

Perché le azioni degli account amministratori si bloccano

• CREATION_PENDING su un dispositivo offline si risolve una volta che si sincronizza.
• Su macOS, la demozione attende fino a quando il Factorial IT-managed admin account stesso detiene un SecureToken — il token di cui FileVault ha bisogno. Factorial IT non demote deliberatamente nessuno prima di allora, quindi il dispositivo non rimane mai senza un amministratore che possiede un token, e DEMOTION_PENDING persiste (il dispositivo registra l'evento ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). L'amministratore gestito riceve il suo token al suo primo accesso sul dispositivo — fai in modo che qualcuno acceda a quell'account una volta, o concedi il token manualmente. Vedi Regole SecureToken.
• Il cockpit può richiedere fino a 24 ore per aggiornare lo stato dell'account locale nella scheda Utenti del dispositivo — verifica sul dispositivo prima di concludere un fallimento.

Quando il nome utente esiste già sul dispositivo e Factorial IT non ha creato l'account, Gestione utenti amministratori lo riporta come creato (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT non conserva la sua password fino a quando un controllo di rotazione della password amministratore non la sostituisce.

La regola Rotazione password amministratore riporta i propri stati: PENDING, SUCCESS, ERROR. SUCCESS è conforme; PENDING si cancella una volta che il dispositivo applica la rotazione, quindi ERROR è lo stato su cui vale la pena sollevare un problema.

Un ERROR senza uno stato aggiuntivo significa che la rotazione è scaduta.

Dettagli di controllo: Gestione amministratori, Rotazione password amministratore.

iCloud Lock (Blocco di attivazione)

Solo macOS — Il Blocco di attivazione esiste anche su iOS e iPadOS, ma questa regola di compliance valuta solo i Mac. Controlla che quando il Blocco di attivazione è attivato, Factorial IT possieda il codice di bypass, in modo che il dispositivo possa essere recuperato dopo un ripristino senza l'Apple Account dell'impiegato.

ENABLED (blocco attivato, codice custodito) e DISABLED (blocco disattivato) sono entrambi conformi. La regola non produce alcuno stato mentre il dispositivo non è completamente registrato o il suo stato di blocco è ancora sconosciuto.

Perché manca un codice di bypass

La custodia avviene nel momento in cui il Blocco di attivazione si attiva — non è retroattiva. Tutte queste devono essere vere affinché il codice venga custodito:

• Il dispositivo è supervisionato tramite MDM.
• Il dispositivo è stato registrato prima che il Blocco di attivazione fosse abilitato. Se l'impiegato ha attivato Trova il mio prima della registrazione, il codice non può essere recuperato — l'unico percorso di recupero sono le loro credenziali dell'Apple Account.
• Il dispositivo è di proprietà dell'azienda (i dispositivi BYOD non sono idonei).
• Il profilo MDM è installato a livello di sistema (la registrazione approvata dall'utente senza Apple Business non custodisce codici in modo affidabile).

Analisi e rimedio scenario per scenario: Custodia del codice di bypass del Blocco di attivazione.

Recovery OS

Solo macOS. Controlla che la configurazione di protezione recoveryOS sia applicata. Solo i Mac Apple Silicon vengono valutati — i Mac Intel non possono supportare la protezione recoveryOS e non producono alcuno stato.

PROTECTED è lo stato conforme. L'applicazione completa richiede che il dispositivo sia registrato con il livello di supervisione appropriato — un Mac non supervisionato è la prima cosa da controllare su FAILED. Dettagli di controllo: protezione recoveryOS.

Perché la protezione recoveryOS fallisce

Oltre alla supervisione, due cause lasciano un Mac su FAILED:

• L'opzione Password di Recovery Lock della flotta è attivata. La flotta quindi rifiuta il comando di Factorial IT e imposta la propria password sui Mac appena registrati.
• Il Mac ha già una password di recovery lock, impostata da un altro strumento o da un altro MDM. Il Mac rifiuta la password di Factorial IT mentre quella è in vigore.

Cosa fare per ciascuna causa: Risoluzione dei problemi della protezione recoveryOS.

Controlli forniti dal profilo

Firewall, Politica di password, Wi-Fi, Blocco USB, Blocco app, Cattura dello schermo, Disabilita AirDrop, Blocca pannello profili, Google Chrome, Nominazione dispositivo, File di configurazione personalizzati, Web Clip, AirPrint, Aggiornamento software (macOS), e i controlli SSO (Entra SSO, Okta SSO, Factorial IT SSO) funzionano tutti allo stesso modo: Factorial IT fornisce una configurazione al dispositivo, e il dispositivo riporta indietro. Condividono gli stessi stati di consegna:

ENFORCED è lo stato conforme.

Perché una configurazione non riesce ad applicarsi

macOS

• Un utente amministratore ha rimosso il profilo MDM che porta la configurazione (a meno che il Blocca pannello profili non lo impedisca).
• I problemi APNs impediscono al dispositivo di ricevere o convalidare i profili — controlla il problema di stato di registrazione per lo stesso dispositivo.
• Il controllo si rivolge a una funzionalità che il dispositivo non possiede: i controlli SSO della piattaforma richiedono versioni recenti di macOS (il login Mac con Factorial IT richiede macOS 27 o successivo), e l'impiegato deve completare il prompt di registrazione del fornitore di identità nella propria sessione.

Windows

• Windows Home / Family applica solo parzialmente le politiche di sicurezza — diverse configurazioni richiedono Pro, Enterprise o Education, e falliscono senza un errore esplicito su Home. Vedi limitazioni di Windows Home.
• Un'impostazione in conflitto di un precedente MDM o una politica di gruppo locale sovrascrive il valore fornito.

PENDING che persiste di solito significa che il dispositivo è offline — risolvi prima la connettività. Per ERROR, apri il cassetto del dispositivo e passa al controllo MDM correlato per verificare la sua configurazione. Quindi rinvia il profilo a quel dispositivo: nella sezione Controlli MDM del cassetto, fai clic su Rinvia profilo sulla riga del controllo. Il dispositivo installerà il profilo al suo prossimo check-in. Un iPhone o un iPad lo installerà una volta sbloccato.

Il cockpit rifiuta un rinvio quando nessun profilo di configurazione applica il controllo, quando il profilo è una dichiarazione, quando non è assegnato a questo dispositivo, o quando è ancora in fase di consegna. In quest'ultimo caso, attendi che il dispositivo si registri.

Accesso remoto (RustDesk)

A differenza dei controlli forniti dal profilo, la regola di Accesso remoto tiene traccia di un installazione software, non di un profilo di configurazione.

INSTALLED è lo stato conforme. Un persistente PENDING di solito significa che il dispositivo è offline o che l'installazione è ancora in coda — controlla lo stato di installazione del software dal pannello del dispositivo, quindi lascia che la prossima sincronizzazione risolva il problema.

Risolvi qualsiasi problema: il ciclo generale

1. Apri il cassetto del dispositivo. Fai clic sulla riga del problema in Compliance > Problemi di compliance. Rivedi lo stato completo del dispositivo su ogni regola — diversi problemi su un dispositivo spesso condividono una singola causa radice (offline, agente mancante, profilo rimosso).
2. Separa i dati obsoleti da quelli reali. Controlla quando il dispositivo ha sincronizzato l'ultima volta. Se è stato offline, risolvi la connettività prima di qualsiasi altra cosa.
3. Risolvi la causa principale. Usa le sezioni sopra. Le azioni di rimedio (spingere profilo, bloccare, cancellare) sono disponibili dal cassetto del dispositivo — vedi Gestisci i tuoi dispositivi.
4. Lascia che il problema si risolva da solo. I problemi si risolvono automaticamente alla successiva sincronizzazione del dispositivo una volta che lo stato migliora. Se un problema non avrebbe mai dovuto attivarsi, imposta quello stato su Off in Compliance > Impostazioni dei problemi di compliance invece.

Permessi