Guida alle unità amministrative di Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Scopri le unità amministrative di Microsoft Entra con indicazioni pratiche su sicurezza, governance, controllo degli accessi, implementazione e utilizzo reale.

Automatically translated with AI from the original post. Read the English original

Se gestisci una grande organizzazione che usa Microsoft 365 o Azure, le cose possono complicarsi in fretta. Le unità amministrative, o AU in breve, in Microsoft Entra ID fanno da capi-quartiere per le strade digitali del tuo tenant. Ti aiutano a suddividere la base utenti, così puoi dare agli amministratori locali il controllo necessario per gestire la propria zona, ma non l'intera città.

Si tratta di un salto di qualità per le organizzazioni che devono bilanciare sicurezza, conformità ed efficienza. Invece di autorizzazioni amministrative uguali per tutti, le AU fanno in modo che le persone giuste gestiscano le persone giuste, né più né meno. Continuando a leggere, vedrai in che cosa le AU si differenziano dai gruppi e dalle OU classiche, e come semplificano il lavoro mantenendo la governance sotto controllo. Che tu cerchi una migliore definizione dell'ambito dei ruoli, la segmentazione del tenant o semplicemente meno caos, capire le unità amministrative in Entra ID vale il tuo tempo.

Che cos'è un'unità amministrativa in Microsoft Entra ID?

Le unità amministrative (AU) in Microsoft Entra ID sono contenitori speciali pensati per una pulizia su larga scala. Immaginale come confini digitali: puoi assegnare gli amministratori a questi confini, così gestiscono solo gli utenti o i gruppi all'interno di quello specifico perimetro.

Una volta configurata un'AU, puoi delegare i diritti amministrativi, come Amministratore utenti o Amministratore helpdesk, solo per le persone o i gruppi presenti in quell'unità. In questo modo i team IT locali restano concentrati sul proprio personale, senza curiosare altrove. Si tratta di decentralizzare il controllo senza aprire tutte le porte contemporaneamente.

Questo è particolarmente utile in organizzazioni grandi o complesse, come scuole, multinazionali o agenzie governative, dove non vuoi che un amministratore nel New Jersey reimposti le password degli utenti di Tokyo. Gli dai una direzione, per così dire, e ognuno resta nella propria corsia.

A differenza delle OU tradizionali di Active Directory locale, le AU esistono solo nel cloud Microsoft e servono esclusivamente a definire l'ambito delle autorizzazioni amministrative. Non sono nemmeno la stessa cosa dei gruppi di sicurezza o dei gruppi di Microsoft 365, che servono principalmente per accedere ad app e risorse, non per i diritti amministrativi. Il messaggio chiave? Le AU ti aiutano a gestire "chi può gestire cosa" direttamente nel tenant cloud, offrendo un'amministrazione più precisa e più sicura.

In che modo le unità amministrative di Azure si differenziano da gruppi e OU

• Unità amministrative (AU): pensate per l'amministrazione delegata. Limitano i ruoli amministrativi a specifici utenti e gruppi all'interno di un'AU, ma non forniscono diritti di accesso alle risorse come file o caselle di posta.
• Gruppi: usati per assegnare l'accesso ad app e risorse (ad esempio Teams, SharePoint, licenze). I gruppi non limitano né definiscono i confini amministrativi: servono solo per l'appartenenza ai fini delle autorizzazioni o della distribuzione.
• Unità organizzative (OU): un concetto di Active Directory locale, che organizza gli oggetti (utenti, computer) in modo gerarchico per l'applicazione dei criteri di gruppo. Non sono progettate per la delega nel cloud o in Microsoft 365 e non hanno un equivalente diretto in Entra ID.

In sintesi: usa le AU per definire l'ambito amministrativo, i gruppi per l'accesso e le OU per l'organizzazione locale. Scegli lo strumento giusto per ogni esigenza.

Implementare le unità amministrative: scenari chiave per Microsoft 365

Quando il tuo ambiente Microsoft 365 si estende su più paesi, reparti o aree di conformità, un unico team amministrativo centrale non basta più. È qui che entrano in gioco le unità amministrative, che ti aiutano a gestire configurazioni complesse senza perdere il controllo, o la testa.

Le unità amministrative ti permettono di distribuire esattamente il giusto livello di privilegi, così i team locali o i responsabili di reparto possono gestire reimpostazioni delle password o appartenenze ai gruppi proprio dove serve. Segmentando il tenant in questo modo, puoi aumentare la produttività e ridurre i rischi, perché nessuno dispone di accessi amministrativi più ampi di quelli necessari.

Le sfide reali si presentano continuamente: magari hai un'università con diverse facoltà, un retailer con negozi in più regioni o un'azienda globale con team IT regionali. Le unità amministrative diventano lo strumento a cui ricorrere per definire chi è responsabile di quale porzione dell'organizzazione e per garantire che le policy interne vengano davvero rispettate.

Di seguito vedremo alcuni degli scenari più comuni e i punti decisionali per avviare queste unità. Capirai non solo perché sono importanti, ma anche come ti aiutano ad affrontare problemi frequenti come conformità, accesso con privilegi minimi e autonomia regionale.

Quando usare le unità amministrative in scenari amministrativi complessi

• Organizzazioni distribuite geograficamente: assegna i team IT regionali alla gestione solo degli utenti della propria sede (ad esempio Europa o Asia), senza accesso al tenant globale.
• Segmentazione per reparto: delega i diritti amministrativi a HR, Finanza o alle facoltà accademiche, mantenendo le autorizzazioni di gestione di ciascun team limitate al proprio reparto.
• Confini di conformità o privacy: separa gli utenti soggetti a normative diverse (come GDPR o HIPAA) in unità amministrative dedicate, applicando confini di sicurezza precisi.
• Fusioni e acquisizioni: integra nuove business unit o aziende acquisite e lascia che gestiscano autonomamente il proprio ambiente, senza aprire l'accesso a tutto il tuo ambiente.
• Istituti scolastici e distretti: dai agli amministratori di ogni scuola il controllo solo su studenti e personale del proprio campus, tenendo i dati delle altre scuole fuori dalla loro portata.

Usare le unità amministrative di Azure per gestire la segmentazione del tenant di Microsoft 365

• Amministrazione decentralizzata: le unità amministrative ti permettono di assegnare amministratori locali solo alle persone o ai gruppi di cui si occupano, senza più dover ricorrere a un amministratore globale per le attività quotidiane. Questo aiuta a evitare il classico «troppi cuochi in cucina».
• Confini di sicurezza chiari: segmentando il tenant con le unità amministrative puoi definire confini allineati a reparti, regioni o entità giuridiche, ciascuno con diritti amministrativi su misura.
• Conformità più semplice: poiché i team IT vedono solo gli utenti del proprio ambito, diventa molto più facile superare gli audit, applicare il principio del privilegio minimo e limitare i rischi di esposizione dei dati.
• Risoluzione dei problemi semplificata: gli amministratori locali possono reimpostare le password, gestire le licenze o modificare le appartenenze senza interferire con i dati di altri team, rendendo più fluida la gestione quotidiana.
• Supporto alle strategie di governance: per strategie avanzate su RBAC, PIM e applicazione delle regole, consulta questo approfondimento sulle best practice di governance e RBAC di Azure per suggerimenti pratici.

Come configurare le unità amministrative in Microsoft Entra ID

Introdurre le unità amministrative in Microsoft Entra ID parte da un'idea chiara: chi vuoi gestire e di chi ti fidi per gestirli? Una volta definito questo punto, la configurazione di un'unità amministrativa prevede prima la creazione dell'unità stessa, poi il popolamento con gli utenti o i gruppi giusti e infine l'assegnazione dei ruoli amministrativi con il livello di controllo appropriato.

Puoi creare le unità amministrative direttamente nel portale di Azure, che offre un flusso intuitivo guidato passo dopo passo. Per organizzazioni più grandi o dinamiche, puoi sfruttare le tue competenze di automazione con Microsoft Graph API, lasciando che siano gli script a svolgere il lavoro più pesante.

Da qui in avanti si tratta di inserire le persone nelle unità giuste, una alla volta se necessario oppure in blocco se lavori su larga scala. L'appartenenza ai gruppi può essere gestita manualmente o dinamicamente, ma dispositivi e risorse (come i siti SharePoint) presentano alcuni limiti da considerare, che segnaleremo a breve.

Infine, dovrai assegnare i ruoli amministrativi usando il modello classico di Azure AD oppure tramite Privileged Identity Management (PIM), per ottenere accesso just-in-time e tracciabilità. Le sezioni successive illustreranno ogni passaggio, così potrai creare, proteggere e delegare con sicurezza.

Creare e configurare le unità amministrative in Microsoft 365

• Accedi al portale di Azure: vai su Microsoft Entra ID, scegli Unità amministrative e fai clic su «+ Nuova unità amministrativa» per avviare la procedura di configurazione.
• Assegna un nome, descrivi e scegli l'ambito: dai alla tua unità amministrativa un nome chiaro e descrittivo (ad esempio «Amministratori vendite APAC»). Facoltativamente, aggiungi una descrizione per gli amministratori futuri.
• Aggiungi membri: puoi assegnare direttamente utenti o gruppi come membri. Decidi chi è gestito all'interno di questa unità amministrativa: gli amministratori agiranno solo su questi utenti.
• Opzione per l'automazione: preferisci il codice? Usa Microsoft Graph API per creare, aggiornare e gestire le unità amministrative per flussi di lavoro in blocco o automatizzati. Lo scripting semplifica le modifiche su larga scala e riduce gli errori.
• Verifica le sovrapposizioni di appartenenza: evita appartenenze sovrapposte tra unità amministrative se vuoi un ambito ben delimitato. Un utente può essere gestito in una sola unità amministrativa per uno specifico contesto di ruolo.

Assegnare utenti e gruppi alle unità amministrative

• Assegnazione diretta: aggiungi manualmente utenti o gruppi tramite il portale di Azure (Utenti > Aggiungi membro) in modo che diventino oggetti gestiti nell'unità amministrativa.
• Gruppi dinamici (con limitazioni): Puoi aggiungere gruppi dinamici come membri di AU, ma le AU stesse al momento non possono applicare nativamente le regole dinamiche: le regole dei gruppi dinamici risiedono nel gruppo, non nell'AU.
• Importazioni in blocco: Nelle organizzazioni di grandi dimensioni, usa PowerShell o Graph API per assegnare in modo efficiente più utenti e gruppi. Così si risparmia tempo e si garantisce coerenza.
• Verifica regolarmente i membri: Imposta controlli periodici per rimuovere gli account orfani e assicurarti che gli utenti abbiano ancora l'ambito corretto. Le cose cambiano: tieni sempre aggiornati i confini.
• Inclusione dei dispositivi: Al momento i dispositivi (come laptop e telefoni cellulari) non possono essere membri delle AU. La gestione riguarda esclusivamente persone e gruppi, non hardware o risorse.

Assegnare ruoli agli amministratori con Privileged Identity Management

• Assegnazione dei ruoli per AU: Dall'interno dell'AU, assegna ruoli come Amministratore utenti, Amministratore gruppi o Amministratore Helpdesk, in modo che gli amministratori delegati abbiano poteri solo all'interno di quella AU.
• Usa PIM per l'accesso just-in-time: Usa Privileged Identity Management (PIM) di Azure AD per concedere accessi amministrativi just-in-time (JIT). In questo modo i ruoli possono essere attivati temporaneamente, riducendo il rischio di accessi "sempre attivi".
• Configura i flussi di approvazione: Imposta le approvazioni in PIM in modo che l'accesso amministrativo richieda un'ulteriore approvazione: un vero salvavita per ambienti soggetti a conformità o ad alta sicurezza.
• Monitora e controlla gli accessi: Tieni d'occhio chi attiva cosa e quando. Collega i log di audit a Microsoft Sentinel oppure usa Purview Audit per il monitoraggio forense delle attività degli utenti in tutto Microsoft 365. Questo arricchisce la governance e rafforza la tua strategia di sicurezza.
• Rivedi le assegnazioni privilegiate: Riesamina periodicamente i ruoli concessi. Rimuovi i privilegi obsoleti o non necessari per prevenire il privilege creep e rafforzare il principio del privilegio minimo.

Requisiti amministrativi, licenze e limitazioni

Prima di iniziare a suddividere il tuo tenant in AU, ci sono alcuni prerequisiti e vincoli da considerare. Non tutti gli abbonamenti Microsoft 365 sono uguali: l'uso delle AU richiede in genere almeno le licenze Azure AD Premium P1 sia per gli utenti destinatari sia per gli amministratori assegnati.

La funzionalità è solida per quanto riguarda utenti e gruppi, ma mostra alcuni limiti con i dispositivi, i siti SharePoint o altre risorse: le AU al momento non sono progettate per gestire hardware o per assegnare accessi granulari alle risorse. Anche le assegnazioni di licenze e alcune funzionalità di gestione delle proprietà presentano limitazioni, che possono richiedere soluzioni alternative creative in ambienti grandi o in rapida evoluzione.

La gerarchia è un altro punto critico. A differenza delle OU in Active Directory classico, le AU sono piatte: non esistono annidamenti né relazioni padre/figlio, quindi dovrai progettare la segmentazione senza quel livello di complessità (o di flessibilità, a seconda di come la guardi).

Nei dettagli che seguono vedrai i confini funzionali delle AU, così potrai definire aspettative realistiche sia per il tuo team IT sia per i referenti aziendali.

Principali limitazioni amministrative: gerarchia, dispositivi e SharePoint

• Nessuna struttura gerarchica: le AU sono piatte: non esiste il concetto di annidamento o di organizzazione padre/figlio. Non puoi, ad esempio, creare un'AU "Nord America" con AU figlie per ogni stato o provincia. Ogni AU è autonoma.
• Limiti nella gestione dei dispositivi: i dispositivi come laptop, telefoni o stampanti non possono essere gestiti direttamente con le AU. Se ti serve un ambito a livello di dispositivo, potrebbero essere necessarie altre soluzioni o criteri di Intune.
• Limitazioni di SharePoint/OneDrive: le AU non delimitano i diritti amministrativi su siti SharePoint o OneDrive. La gestione della governance dei dati in queste app richiede strategie separate oppure alternative come Microsoft Dataverse per esigenze di dati complesse.
• Difficoltà nell'assegnazione delle licenze: puoi assegnare licenze agli utenti all'interno delle AU, ma non esiste un'automazione integrata con ambito AU, il che rende più difficile automatizzare su larga scala.
• Gestione delle proprietà: l'aggiornamento in blocco o la creazione di report sulle proprietà degli utenti all'interno delle AU è limitato. Spesso serviranno strumenti esterni, PowerShell o Graph API per colmare queste lacune.

Sicurezza, governance e alternative alle unità amministrative

La sicurezza e la governance non finiscono con la configurazione delle AU: è solo l'inizio. Per proteggere il tuo tenant (e la tua reputazione) devi pensare a come vengono amministrate le AU, a chi ottiene le deleghe e a come gli accessi privilegiati vengono monitorati, verificati e revocati nel tempo.

Le buone pratiche includono l'applicazione del principio del privilegio minimo, l'uso di flussi di approvazione con PIM e l'audit di ogni assegnazione di ruolo. Non trascurare il monitoraggio continuo: verifiche periodiche degli accessi privilegiati, avvisi su attività anomale e report periodici ti permettono di tenere saldamente sotto controllo chi gestisce davvero il tuo ambiente.

In alcune organizzazioni, anche il design più accurato delle AU potrebbe non bastare. Potresti aver bisogno di una segmentazione su più livelli, di controlli di conformità più approfonditi o di un'automazione più avanzata. In questi casi entrano in gioco soluzioni alternative, come i tenant virtuali di CoreView, che ti permettono di suddividere il tenant in modi che le AU, al momento, non riescono a offrire.

Per approfondire come applicare una governance solida, con applicazione dei criteri, RBAC e guardrail automatizzati, dai un'occhiata a questo approfondimento sulle strategie di governance di Azure. E se stai lavorando su AI o automazione, come proteggere Copilot e le autorizzazioni di Graph è una lettura obbligatoria per restare conformi nell'era dei copilot e dei bot.

Implicazioni di sicurezza residue e alternative ai tenant virtuali

• Accumulo di privilegi: se i diritti di amministrazione non vengono verificati, gli ex amministratori o chi cambia spesso ruolo possono accumulare privilegi « zombie », uno dei principali rischi interni. Verifiche periodiche e rimozioni tempestive sono essenziali.
• Lacune di audit e visibilità: i log di audit nativi non sempre permettono di capire facilmente chi ha modificato cosa e in quale AU. Per una supervisione di livello enterprise, collega i log di Entra a strumenti SIEM oppure usa Microsoft Purview o Sentinel per un monitoraggio solido e report di conformità. Episodi come Agentageddon spiegano i rischi di restare indietro sull'audit dell'AI e della governance in Microsoft 365.
• Limiti di ambito: le AU non possono segmentare in modo nativo ambienti cross-cloud o ibridi. Per configurazioni ibride o multi-cloud, valuta strumenti di terze parti o soluzioni di tenant virtuali per confini più netti e una governance centralizzata.
• Quando considerare alternative: valuta soluzioni come i tenant virtuali di CoreView quando ti servono segmentazione su più livelli, mappatura della conformità o automazione dei flussi di lavoro più avanzata di quanto le AU possano offrire. Shadow IT e AI richiedono un monitoraggio avanzato: per qualche spunto in più, consulta questa analisi su Microsoft Foundry e gli elementi essenziali di Purview.

Ascolta anche

Se stai studiando le unità amministrative di Microsoft Entra, questi episodi offrono un contesto pratico su sicurezza dell'identità, governance, accessi privilegiati e implementazione:

• Microsoft Defender XDR – Simply Explained — Collega la governance dell'identità ai segnali di sicurezza, alle indagini e alla risposta.
• Conditional Access – Simply Explained — Scopri come i controlli di accesso basati su criteri applicano le decisioni sull'identità.
• Privileged Identity Management – Simply Explained — Comprendi i privilegi just-in-time, le approvazioni e le verifiche degli accessi.
• Microsoft Teams Governance – The Illusion of Control — Scopri come la governance trasforma autorizzazioni e proprietà in operazioni ripetibili.