Surface Pro 7 bloccato da Autopilot/MDM: diagnosi certa e soluzione legale

Hai comprato un Surface Pro 7 “personale” ma all’avvio richiede un account “scuola o lavoro”? È il classico segno di un blocco MDM/Autopilot. In questa guida capirai come diagnosticarlo con certezza, come far rimuovere il vincolo in modo legale e cosa fare se il venditore non collabora.

Indice

Perché compare la richiesta di account aziendale

Quando un Surface Pro 7 è stato gestito da un’organizzazione, il suo numero di serie (e, spesso, l’hardware hash) resta associato a un tenant di gestione. Con Windows Autopilot e Microsoft Intune (ex Endpoint Manager) il dispositivo si autoriconfigura dopo ogni reinstallazione: durante l’assistente di configurazione (OOBE) Windows contatta i servizi Microsoft e riceve il profilo dell’azienda. Risultato: ti chiede un indirizzo “scuola o lavoro” e non diventa mai davvero un PC “consumer”.

Il fenomeno è noto come MDM Lock o vincolo Autopilot. Anche un ripristino totale da USB o tramite “Reimposta questo PC” non lo rimuove, perché il blocco non vive nel disco ma nel cloud dell’organizzazione.

Segnali che confermano la gestione MDM

Durante OOBE appare un passaggio con “Accedi con il tuo account aziendale o dell’istituto di istruzione”.
Non è presente l’opzione evidente per l’accesso con account Microsoft personale o la creazione di un account locale.
Dopo un ripristino “pulito”, il comportamento si ripete identico.
Nell’UEFI/BIOS del Surface compaiono voci disattivate con diciture tipo “Gestito dalla tua organizzazione”, indice di un profilo DFCI ancora applicato.

<table>
  <thead>
    <tr>
      <th>Segnale</th>
      <th>Cosa indica</th>
      <th>Impatto pratico</th>
    </tr>
  </thead>
  <tbody>
    <tr>
      <td>Richiesta “scuola o lavoro” all’OOBE</td>
      <td>Autopilot attivo su quel seriale</td>
      <td>Impossibile configurare come PC personale finché non viene rimosso dal tenant</td>
    </tr>
    <tr>
      <td>Voci UEFI bloccate</td>
      <td>Profilo DFCI applicato via Intune</td>
      <td>Firmware e periferiche vincolati; serve rimozione lato tenant</td>
    </tr>
    <tr>
      <td>Ripristini inutili</td>
      <td>Vincolo lato cloud, non sul disco</td>
      <td>Le reinstallazioni non risolvono; va contattato il proprietario organizzativo</td>
    </tr>
  </tbody>
</table>

Diagnosi rapida con PowerShell

Se riesci ad arrivare a un prompt amministratore (per esempio da Ambiente di ripristino o dopo un’installazione temporanea), questi comandi ti aiutano a dimostrare lo stato del dispositivo. Sono utili anche come prova per il venditore o per una pratica di rimborso.

<h3>Verifica Autopilot</h3>
<pre><code>PowerShell (Amministratore)

Get-AutopilotDiagnostics | Select-Object AutoPilotEnrolled, TenantName, EnrollmentDate

Se AutoPilotEnrolled risulta True oppure compaiono TenantName e EnrollmentDate, il Surface è ancora associato a un tenant.

<h3>Raccolta informazioni Autopilot</h3>
<p>Lo script ufficiale <em>Get-WindowsAutoPilotInfo.ps1</em> genera hash e dettagli del dispositivo. È pensato per amministratori ma puoi usarlo per confermare lo stato. L’output contiene campi come <em>SerialNumber</em> e <em>GroupTag</em> che il reparto IT del venditore può cercare nel portale.</p>

<h3>Stato di registrazione ad Azure AD/Microsoft Entra ID</h3>
<pre><code>cmd

dsregcmd /status

Controlla i campi AzureAdJoined e DeviceAuthStatus. Se il dispositivo risulta già “AzureAdJoined = YES” senza che tu abbia effettuato l’accesso, è un ulteriore indicatore di provisioning forzato.

<h3>Numero di serie dal sistema</h3>
<pre><code>PowerShell

Get-CimInstance Win32_BIOS | Select-Object SerialNumber

Oppure leggilo fisicamente sotto il cavalletto del Surface. Il seriale è il dato chiave che l’IT userà per rimuovere il vincolo.

Come si rimuove il vincolo in modo corretto

Tu, acquirente, non puoi sbloccare autonomamente un dispositivo MDM in modo legittimo. La rimozione deve essere effettuata dal legittimo tenant (l’azienda o scuola proprietaria). La strada più veloce è contattare il venditore e chiedere che il suo reparto IT liberi il Surface dai sistemi di gestione.

<h3>Cosa deve fare il venditore o il suo IT</h3>
<p>Indica al venditore, passo per passo, le attività tipiche in ambiente Intune e Microsoft Entra ID (ex Azure AD). I nomi delle voci possono variare leggermente, ma la logica resta identica:</p>

<table>
  <thead>
    <tr>
      <th>Dove intervenire</th>
      <th>Scopo</th>
      <th>Percorso tipico nel portale</th>
      <th>Azione corretta</th>
    </tr>
  </thead>
  <tbody>
    <tr>
      <td>Intune</td>
      <td>Rimuovere il device dalla gestione MDM</td>
      <td>Dispositivi → Tutti i dispositivi</td>
      <td>Selezionare il Surface → <em>Elimina</em> o <em>Rimuovi dalla gestione</em></td>
    </tr>
    <tr>
      <td>Microsoft Entra ID (Azure AD)</td>
      <td>Eliminare l’oggetto dispositivo dal directory tenant</td>
      <td>Dispositivi</td>
      <td>Aprire il dispositivo → <em>Elimina</em> e confermare</td>
    </tr>
    <tr>
      <td>Windows Autopilot</td>
      <td>Rimuovere il profilo di distribuzione legato al seriale</td>
      <td>Dispositivi → Windows → Registrazione Windows → Dispositivi Autopilot</td>
      <td>Cercare per seriale → <em>Elimina</em> (o rimuovere l’assegnazione del profilo)</td>
    </tr>
    <tr>
      <td>DFCI</td>
      <td>Sbloccare l’UEFI del Surface</td>
      <td>Dispositivi → Configurazioni → Profili → Profili DFCI</td>
      <td>Rimuovere l’assegnazione del profilo e <em>ritirare</em> il device</td>
    </tr>
    <tr>
      <td>OEM Autopilot o CSP</td>
      <td>Cancellare l’associazione se caricata dal rivenditore</td>
      <td>Tramite rivenditore Microsoft o partner CSP</td>
      <td>Aprire ticket al partner per rimozione da repository OEM</td>
    </tr>
  </tbody>
</table>

<p><strong>Nota importante sulla propagazione:</strong> dopo le eliminazioni, i servizi cloud possono impiegare un po’ di tempo per sincronizzarsi. Per sicurezza, una volta che l’IT conferma la rimozione, esegui un ripristino completo connesso a Internet, come descritto sotto.</p>

Come ripristinare correttamente dopo la rimozione

Quando il venditore ha effettivamente rimosso il Surface da Intune, Entra ID e Autopilot, il tuo obiettivo è ottenere un’installazione “da scaffale” senza profilazioni aziendali.

<h3>Procedura consigliata</h3>
<ol>
  <li><strong>Connettiti a Internet</strong> tramite Wi‑Fi o cavo, così Windows può verificare che il seriale non sia più vincolato.</li>
  <li>Usa <strong>Reimposta questo PC</strong> con opzione <em>Rimuovi tutto</em> e preferenza <em>Download da cloud</em>. In alternativa, crea una chiavetta USB con lo strumento ufficiale e avvia da lì.</li>
  <li>Durante OOBE assicurati che compaiano le opzioni per <em>account Microsoft personale</em> o <em>account locale</em>. Non deve più apparire la schermata che impone l’accesso “scuola o lavoro”.</li>
  <li>Una volta sul desktop, controlla in <em>Impostazioni → Account → Accesso lavoro o scuola</em> che non ci siano profili collegati. Esegui anche la doppia verifica con:
    <pre><code>PowerShell

Get-AutopilotDiagnostics

<p><strong>Attenzione:</strong> la cancellazione delle partizioni o la formattazione “a basso livello” non rimuovono il vincolo, perché il blocco è nel cloud. Sono azioni utili solo per igiene del sistema, non per slegare il seriale dal tenant.</p>

Se il venditore non collabora

Se il venditore non può o non vuole coinvolgere l’IT, oppure l’organizzazione rifiuta la rimozione, non c’è una soluzione tecnica legittima lato acquirente. In questo caso la strada corretta è la restituzione con rimborso tramite la Garanzia Cliente della piattaforma di acquisto.

<h3>Come documentare il problema</h3>
<ul>
  <li>Fotografa o registra la schermata OOBE che chiede l’account “scuola o lavoro”.</li>
  <li>Allega l’output di <code>Get-AutopilotDiagnostics</code> o di <code>dsregcmd /status</code> se riesci a eseguirli.</li>
  <li>Inserisci foto dell’etichetta con il seriale e una copia della descrizione dell’inserzione dove il dispositivo era presentato come “personale” o “non gestito”.</li>
  <li>Conserva gli scambi con il venditore in cui segnali il vincolo MDM.</li>
</ul>

<h3>Modello di messaggio da inviare al venditore</h3>
<blockquote>
  Buongiorno, il Surface Pro 7 acquistato risulta ancora registrato a un tenant aziendale tramite Microsoft Intune/Autopilot. All’avvio viene richiesto un account “scuola o lavoro” e l’output di Get‑AutopilotDiagnostics conferma l’associazione.  
  Per rendere il dispositivo utilizzabile come “consumer”, chiedo cortesemente di far rimuovere il seriale da:  
  1) Intune → Dispositivi (eliminazione)  
  2) Microsoft Entra ID/Azure AD → Dispositivi (eliminazione dell’oggetto)  
  3) Autopilot → Dispositivi (rimozione dal profilo o eliminazione)  
  4) Eventuale profilo DFCI  
  Dopo la rimozione eseguirò un ripristino “Download da cloud” per verificare. In alternativa, se non è possibile procedere, domando annullamento vendita e rimborso perché l’oggetto non corrisponde alla descrizione.
</blockquote>

Indicazioni legali e di sicurezza

Non esistono procedure fai‑da‑te legittime per sbloccare un dispositivo MDM senza il consenso del tenant proprietario. Aggirare il blocco viola i termini di licenza e può costituire reato.
Qualsiasi metodo “offline” o “forzato” che prometta di saltare l’OOBE o creare un account locale non risolve: alla prima connessione il dispositivo tenterà comunque di registrarsi al tenant, reimponendo le policy.
Se trovi voci UEFI bloccate da DFCI, significa che il firmware è gestito dal tenant: l’unlock richiede la rimozione del profilo da Intune e una successiva sincronizzazione.

Approfondimento su Autopilot, Intune ed Entra ID

Windows Autopilot è il meccanismo di zero‑touch provisioning che collega un hardware alla configurazione dell’azienda basandosi su seriale e hardware hash. Microsoft Intune è il servizio MDM che impone criteri, applicazioni e profili (incluso DFCI sui Surface for Business). Microsoft Entra ID è il nuovo nome di Azure Active Directory: qui vive l’oggetto dispositivo che consente l’autenticazione e la registrazione al tenant.

Finché tutti e tre questi punti non vengono “ripuliti”, il tuo Surface Pro 7 tenderà a ricongiungersi all’organizzazione originale.

Checklist pronta all’uso

Per l’acquirente

Esegui le verifiche rapide: OOBE, Get-AutopilotDiagnostics, dsregcmd /status, seriale.
Contatta subito il venditore con richiesta chiara di rimozione dal tenant.
Richiedi conferma scritta che Intune, Entra ID, Autopilot e DFCI siano stati aggiornati.
Dopo conferma, esegui “Reimposta questo PC” con Download da cloud e verifica che OOBE permetta account personale.
Se il venditore non collabora, apri pratica di rimborso allegando prove.

<h3>Per il venditore o il reparto IT</h3>
<ul>
  <li>Rimuovi il device da <em>Intune</em> (Dispositivi → elimina/rimuovi gestione).</li>
  <li>Elimina l’oggetto in <em>Microsoft Entra ID</em> (Dispositivi → elimina).</li>
  <li>Rimuovi il device da <em>Windows Autopilot</em> e disassegna eventuali profili.</li>
  <li>Elimina l’assegnazione di eventuali profili <em>DFCI</em>.</li>
  <li>Se caricamento Autopilot era OEM/CSP, apri richiesta al partner per rimozione dal repository.</li>
  <li>Comunica all’acquirente che la rimozione è completa e ricorda che potrebbe essere necessario un ripristino connesso a Internet per azzerare residui di configurazioni.</li>
</ul>

Domande frequenti

Posso completare OOBE in modalità offline per evitare l’MDM?

Su device Autopilot l’OOBE richiede generalmente la connessione. Anche quando un trucco consente di creare un account locale, alla prima connessione il PC tenterà la registrazione MDM: il problema riemerge. Non è una soluzione stabile né legittima.

<h3>Una reinstallazione da USB “pulisce” il PC?</h3>
<p>No. La reinstallazione ripulisce il disco, non il legame in cloud. Se il seriale resta associato ad Autopilot/Intune, il blocco tornerà sempre.</p>

<h3>È sufficiente eliminare solo da Intune?</h3>
<p>No. Serve togliere il dispositivo anche da Entra ID (ex Azure AD) e da Autopilot. Se rimane in uno di questi punti, può riapparire il comportamento gestito.</p>

<h3>Che cos’è DFCI e perché blocca l’UEFI?</h3>
<p><em>Device Firmware Configuration Interface</em> consente all’IT di controllare impostazioni firmware (avvio USB, fotocamera, microfono, ecc.). Se il profilo è attivo, alcune voci in UEFI sono disabilitate. Solo il tenant può rimuoverlo.</p>

<h3>Posso chiedere a Microsoft la rimozione se non conosco il tenant?</h3>
<p>No come privato. Solo il legittimo proprietario (azienda/scuola) o il partner CSP può richiedere la disassociazione. Se il venditore non può contattare il suo IT, procedi alla restituzione.</p>

<h3>Quanto tempo serve perché la rimozione abbia effetto?</h3>
<p>La propagazione lato cloud può richiedere un po’ di tempo. In pratica, dopo la conferma di rimozione, un ripristino connesso a Internet dovrebbe portare a un OOBE “libero”.</p>

Prevenzione per i prossimi acquisti

Chiedi sempre il numero di serie prima di pagare e fatti garantire per iscritto che il dispositivo non sia registrato in Intune/Autopilot e che non abbia profili DFCI.
Chiedi al venditore di eseguire e mostrarti l’output di Get-AutopilotDiagnostics con AutoPilotEnrolled = False.
Richiedi fotografie dell’UEFI che dimostrino l’assenza di voci bloccate da DFCI.
Prediligi venditori professionali o partner che dichiarano espressamente la rimozione dal tenant e offrono documentazione di dismissione.

Esempi di casi reali e come leggerli

Caso tipico: descrizione “Surface Pro 7 usato, ripristinato, pronto all’uso”, ma al primo avvio compare l’accesso “scuola o lavoro”. Diagnosi: Autopilot attivo. Azione: chiedere rimozione da Intune, Entra ID, Autopilot; se il venditore rifiuta, attivare rimborso.

Caso con UEFI bloccata: non puoi modificare boot USB, webcam o sicurezza: messaggio “gestito dall’organizzazione”. Diagnosi: DFCI. Azione: rimozione del profilo DFCI in Intune e sincronizzazione; solo dopo alcune voci tornano accessibili.

Caso “ripristino funziona ma dopo 24h torna il blocco”: il dispositivo è stato inizialmente configurato offline; al primo collegamento a Internet si è registrato al tenant riapplicando policy. Diagnosi: oggetto dispositivo e Autopilot ancora presenti. Azione: rimozione completa lato tenant + nuovo ripristino.

Riepilogo essenziale

Se un Surface Pro 7 chiede “scuola o lavoro” all’avvio, è quasi certamente ancora registrato a un tenant attraverso Intune/Autopilot. L’unica soluzione stabile e legale è la rimozione da parte del legittimo proprietario nei portali aziendali. Dopo la rimozione, un ripristino connesso a Internet ti restituisce un vero dispositivo “consumer”. In assenza di collaborazione, la via corretta è la restituzione con rimborso.

Risorse operative rapide

Comando chiave per diagnosi: Get-AutopilotDiagnostics
Verifica seriale con: Get-CimInstance Win32_BIOS | Select SerialNumber o etichetta sotto il cavalletto
Percorsi utili per IT: Intune → Dispositivi; Entra ID → Dispositivi; Windows → Registrazione → Dispositivi Autopilot; Profili → DFCI
Ripristino consigliato: “Reimposta questo PC” con Download da cloud, dispositivo connesso a Internet

Glossario minimo

MDM: Mobile Device Management. Sistema che impone criteri e configurazioni ai dispositivi aziendali.

Windows Autopilot: servizio che riconosce un dispositivo al primo avvio e lo collega al tenant per il provisioning automatico.

Microsoft Intune: piattaforma MDM/MAM di Microsoft per gestire policy, app, profili e DFCI.

Microsoft Entra ID (ex Azure AD): directory e motore di identità dove vivono gli oggetti dispositivo e le identità.

DFCI: profili che consentono di gestire a distanza impostazioni UEFI dei Surface for Business.

Conclusione

Un Surface Pro 7 proveniente da un’organizzazione e acquistato come “personale” può celare un vincolo MDM che ne impedisce l’uso privato. La diagnosi è semplice e documentabile; la soluzione passa sempre dalla rimozione lato tenant. Se questa non è possibile, difendi i tuoi diritti di acquirente con la restituzione. Con le verifiche preventive e le richieste giuste al venditore, eviterai di ritrovarti con un dispositivo bloccato.

In sintesi: contatta il venditore, chiedi la rimozione in Intune, Entra ID e Autopilot (incluso DFCI), poi ripristina da cloud. Se non collaborano, procedi con la restituzione: è l’unica via legale e stabile.

Esempio di comando unico da tenere a portata di mano:

PowerShell (Amministratore)
Get-AutopilotDiagnostics | Select AutoPilotEnrolled, TenantName, EnrollmentDate

Nota etica: Questa guida non fornisce né suggerisce metodi per aggirare misure di sicurezza o licenze. Lo sblocco di dispositivi MDM senza il consenso del tenant è contrario ai termini d’uso e alle leggi applicabili.