Autorizzazioni e criteri delle app in Microsoft Teams

By Mirko Peters · 2026-04-19 · Updated 2026-07-25

Gestisci l'accesso ai tuoi team di Microsoft Teams! Scopri i criteri di autorizzazione delle app di Teams e i tipi di autorizzazioni. Controlla l'accesso dei membri del team e le impostazioni del nome del team.

Automatically translated with AI from the original post. Read the English original

Titelbild: App Permission Policies and Settings in Microsoft Teams

Il modello di autorizzazioni di Microsoft Teams è la base su cui la tua organizzazione mantiene il lavoro di squadra sicuro, efficiente e conforme alle regole di conformità. Questa guida spiega nel dettaglio come funzionano le autorizzazioni in Teams, partendo dalle basi. Che tu debba gestire i proprietari, capire chi può accedere a un canale privato o che cosa fare con gli ospiti esterni, qui trovi una risposta a ogni dubbio.

Troverai spiegazioni chiare su ruoli, livelli di accesso e su come le autorizzazioni si propagano attraverso Teams, SharePoint e Azure AD. Per gli amministratori IT e i professionisti della sicurezza, ci sono consigli pratici di governance e indicazioni concrete per la risoluzione dei problemi, non solo gergo tecnico. Alla fine saprai come mantenere il tuo ambiente Teams sicuro e facile da navigare, indipendentemente da quanto semplice o complessa sia la tua configurazione.

Modello di autorizzazioni di Teams spiegato: definizione

Le autorizzazioni di Microsoft Teams definiscono chi può accedere alle risorse di Teams (team, canali, chat, file e app), chi può gestirle e quali azioni può eseguire. Il modello di autorizzazioni di Teams si basa sull'accesso in base al ruolo (proprietari, membri, ospiti), sui controlli a livello di canale e sui criteri a livello di tenant applicati da Teams e dagli amministratori di Microsoft 365.

Spiegazione breve: in sostanza, il modello di autorizzazioni di Teams assegna ai proprietari ampi diritti di gestione (creare canali, aggiungere o rimuovere membri, modificare le impostazioni), ai membri i tipici diritti di collaborazione (pubblicare messaggi, condividere file, avviare riunioni) e agli ospiti un accesso limitato, pensato per gli utenti esterni. Gli amministratori applicano criteri a livello di organizzazione (accesso degli ospiti, autorizzazioni delle app, impostazioni delle riunioni, conservazione dei dati e conformità) e possono sovrascrivere le impostazioni dei team. Le autorizzazioni vengono applicate in tutti i servizi di Microsoft 365 (SharePoint per i file, Exchange per calendario e posta), quindi il controllo effettivo combina i ruoli di Teams con le identità di Azure AD e i criteri del tenant, per proteggere la collaborazione senza frenare la produttività.

Struttura delle autorizzazioni di Microsoft Teams

Guardando sotto il cofano di Microsoft Teams, si trovano le autorizzazioni che regolano tutto. Decidono chi può creare team, chattare, pubblicare file o invitare utenti esterni. Al centro di questo sistema ci sono i ruoli e i livelli di accesso, che si distribuiscono dal tenant complessivo di Microsoft 365, attraverso ogni team, fino ai singoli canali.

Tutto parte dai ruoli: proprietari, membri e ospiti. Il potere di ciascuno e le azioni che può compiere determinano il modo in cui le persone interagiscono ogni giorno. Man mano che l'organizzazione cresce, cresce anche la necessità di proteggere i dati e gestire la collaborazione. Le autorizzazioni in Teams non sono un elemento decorativo: sono essenziali per far sì che le informazioni sensibili restino riservate e che ciascuno disponga degli strumenti giusti senza creare caos.

Devi comprendere l'approccio a più livelli: le regole a livello di tenant definiscono ciò che accade nell'organizzazione, le impostazioni a livello di team determinano l'accesso al gruppo e, infine, le autorizzazioni di canale stabiliscono con precisione chi vede cosa all'interno di ogni spazio. La vera sfida per gli amministratori è capire come questi livelli si incastrano e dove potrebbe essere necessario personalizzare o rafforzare le impostazioni per le esigenze della propria organizzazione. Con questo quadro in mente, passiamo ora a esaminare nel dettaglio i ruoli principali e le autorizzazioni di canale.

Ruoli di autorizzazione in Teams: proprietari, membri e ospiti

Proprietari: i proprietari sono i guardiani di un team. Possono aggiungere o rimuovere membri, promuovere altri utenti a proprietario, gestire le impostazioni e controllare le autorizzazioni a livello di team, come l'accesso degli ospiti e le integrazioni. I proprietari decidono chi può entrare, chi resta e che cosa può fare concretamente il team (ad esempio se i membri possono creare canali, aggiungere schede o eliminare elementi). Scenario: di solito conviene avere almeno due proprietari per team, così se uno lascia l'azienda non ti ritrovi bloccato fuori.
Membri: la maggior parte degli utenti sarà membro. I membri possono collaborare, chattare, caricare file e partecipare alle riunioni, ma solo entro i limiti stabiliti dai proprietari. Ad esempio, i membri possono pubblicare nei canali standard e partecipare alle discussioni, ma non possono modificare le impostazioni del team né rimuovere altri membri. I membri sono perfetti per i collaboratori di tutti i giorni: pensali come i "clienti abituali" del bar sotto casa, liberi di chiacchierare e condividere, ma non di cambiare l'orario di apertura del locale.
Ospiti: gli ospiti sono utenti esterni (per esempio partner, fornitori o consulenti) invitati da fuori dalla tua organizzazione. Le loro autorizzazioni sono volutamente limitate: gli ospiti possono partecipare alle chat di team, accedere ai file condivisi e partecipare alle riunioni, ma non possono creare, eliminare o gestire a fondo team o canali. Cosa possono fare gli ospiti è definito dai criteri organizzativi più ampi, quindi fai attenzione a non dare agli ospiti più potere di quanto intendi. Un caso d'uso potrebbe essere dare a uno studio legale l'accesso a un solo canale di progetto, ma non all'intero elenco dei tuoi clienti.

Questa netta separazione dei ruoli rende semplice assegnare il livello di accesso giusto e tiene sotto controllo gli sconfinamenti, accidentali o intenzionali che siano.

Autorizzazioni dei canali e canali privati spiegati

Canali standard: i canali standard sono aperti a tutti i membri del team. Le autorizzazioni riflettono la struttura complessiva del team: proprietari e membri partecipano fianco a fianco, con i proprietari che mantengono il controllo su operazioni come l'eliminazione del canale o la modifica delle autorizzazioni di pubblicazione. Immagina questi canali come la sala comune principale: chiunque faccia parte del team, compresi gli ospiti (se sono consentiti), può entrare.
Canali privati: i canali privati sono, appunto, privati. Solo i proprietari e i membri selezionati (non l'intero team) possono vederli o accedervi. Sono quindi ideali per conversazioni riservate, come quelle su finanza, risorse umane o un progetto segreto. Anche i normali proprietari del team non possono entrarvi, a meno che non vengano aggiunti al canale privato. I canali privati hanno un proprio sito SharePoint con accesso limitato, che tiene i file separati dallo spazio principale del team. Per capire quale tipo di canale fa al caso tuo, consulta questa guida ai canali privati e condivisi in Teams.
Canali condivisi: i canali condivisi sono pensati per una collaborazione fluida tra altri team o persino altre organizzazioni. Consentono a persone esterne al team originale (per esempio di un altro reparto o di un'organizzazione partner) di partecipare alla conversazione, senza far parte dell'intero team. I confini delle autorizzazioni sono netti: ospiti e utenti esterni vedono solo ciò che si trova nel canale condiviso, mai gli altri canali del tuo team. Per un approfondimento pratico con strategie di governance, vantaggi e svantaggi, leggi questa guida pratica ai canali privati e condivisi.

Capire cosa consente ciascun tipo di canale, e come vengono applicate le autorizzazioni, aiuta a ridurre la confusione e impedisce che informazioni sensibili finiscano nelle mani sbagliate.

Modello di autorizzazioni di Teams spiegato: 5 fatti sorprendenti sulle autorizzazioni di Microsoft Teams

Le autorizzazioni a livello di canale possono essere diverse da quelle del team. Anche se un utente è membro del team, le impostazioni a livello di canale (canali standard o privati) definiscono limiti di autorizzazione distinti: i canali privati hanno elenchi di membri e set di autorizzazioni separati, che non vengono ereditati dal team padre.
Gli account ospite hanno più funzionalità di quanto si pensi. Gli ospiti possono partecipare alle chat, condividere file e partecipare alle riunioni, ma i loro diritti variano molto in base ai criteri di Azure AD e di tenant di Teams; abilitare l'accesso ospiti non concede automaticamente tutti i privilegi di collaborazione.
I proprietari possono essere limitati dai criteri a livello di organizzazione. I proprietari del team sembrano avere il controllo completo, ma le impostazioni dell'intera organizzazione e i criteri di autorizzazione di Teams possono limitare azioni come la creazione di canali privati, l'aggiunta di app o la modifica dei ruoli dei membri.
Messaggi e autorizzazioni per le app sono livelli separati. Le autorizzazioni per pubblicare, modificare o eliminare messaggi sono controllate dai criteri di messaggistica, mentre la possibilità di aggiungere o usare app di terze parti è governata dai controlli delle autorizzazioni e dei criteri delle app: modificarne uno non cambia l'altro.
Le autorizzazioni di SharePoint e OneDrive spesso determinano l'accesso ai file in Teams. I file condivisi nei canali si trovano in SharePoint e seguono i modelli di autorizzazione di SharePoint; i file dei canali privati usano un sito SharePoint diverso, quindi l'accesso ai file può essere sorprendente se guardi solo i ruoli di Teams.

Ereditarietà delle autorizzazioni di Teams e accesso a cascata

Ti è mai capitato che le modifiche alle autorizzazioni in una parte di Teams si propaghino misteriosamente a tutta l'organizzazione? Questa è la magia, e il mal di testa, dell'ereditarietà delle autorizzazioni. In Teams le autorizzazioni scendono lungo una gerarchia: dalle impostazioni di tenant di livello superiore e dai gruppi di Azure AD, passando per ogni team, fino a ogni canale e file. Se imposti qualcosa in alto, può finire per influenzare decine o centinaia di aree di lavoro più in basso.

Capire come funziona questa cascata di autorizzazioni è essenziale per prevenire fughe di dati e accessi aperti per errore. Ti aiuta anche a prevedere come una modifica in un punto influenzerà il resto dell'ambiente. A volte, però, vorrai interrompere questa ereditarietà, per esempio per un canale privato o per un progetto riservato, e questo comporta rischi e attenzioni particolari sul fronte della sicurezza.

Nelle sezioni dettagliate che seguono vedremo nel dettaglio come funziona l'ereditarietà passo dopo passo e come interromperla o sovrascriverla in sicurezza, senza creare falle nella tua conformità.

Come funziona l'ereditarietà delle autorizzazioni nella gerarchia di Teams

In Microsoft Teams, l'ereditarietà delle autorizzazioni descrive come i controlli di accesso "scendono" attraverso il sistema. In cima c'è il tuo tenant di Microsoft 365, dove gli amministratori definiscono i criteri di sicurezza principali e creano i confini organizzativi tramite i gruppi di Azure Active Directory (Azure AD). Queste decisioni a livello di tenant stabiliscono la base di riferimento per chi può accedere a Teams nella tua organizzazione.

Quando viene creato un nuovo team, questo viene automaticamente associato a un gruppo di Office 365 (ora gestito in Azure AD). I membri e i proprietari di quel gruppo diventano i membri e i proprietari iniziali del team. Se si apportano modifiche al gruppo, aggiungendo o rimuovendo persone oppure cambiandone il ruolo, tali modifiche vengono immediatamente applicate anche al team associato.

All'interno di un team, i canali standard ereditano le autorizzazioni dal team nel suo complesso. Se sei membro del team, fai parte di ogni canale standard; se sei proprietario, hai pieni poteri di gestione su tali canali. I canali privati, invece, interrompono la catena: solo i membri invitati possono vedere i loro contenuti, e la loro appartenenza va gestita separatamente.

Questo modello di ereditarietà mantiene coerenti gli accessi e, se fatto correttamente, riduce al minimo il lavoro manuale per gli amministratori. È però fondamentale monitorare come le modifiche di livello superiore possano propagarsi ai team e fino al singolo file o cartella di un sito SharePoint collegato.

Interrompere l'ereditarietà in sicurezza senza sacrificare la protezione

Identifica i confini delle autorizzazioni: prima di interrompere l'ereditarietà, definisci con precisione quali team o canali necessitano di impostazioni indipendenti. Di solito conviene interromperla per progetti riservati, comunicazioni della dirigenza o aree di lavoro soggette a normative di conformità, per esempio creando canali privati o disattivando la condivisione esterna.
Usa prima le opzioni native di Teams: preferisci i controlli integrati, come i canali privati o le restrizioni sull'accesso degli ospiti, invece di personalizzare le autorizzazioni di file o cartelle in SharePoint. Questo approccio mantiene le cose chiare, supportate e facili da verificare.
Implementa le tracce di controllo: ogni volta che sovrascrivi un'autorizzazione ereditata, attiva il controllo (in Purview o nell'interfaccia di amministrazione della conformità di Microsoft 365) in modo da avere i log di chi ha modificato cosa, quando e perché. Questo è fondamentale per la conformità e per le indagini.
Rivedi regolarmente le zone di interruzione: definisci un processo per verificare i canali privati, i siti SharePoint unici e qualsiasi impostazione di autorizzazione "una tantum". Rimuovi gli accessi non necessari e disattiva o elimina le risorse obsolete per ridurre i rischi per la sicurezza.
Documenta i casi eccezionali: tieni un elenco di dove e perché l'ereditarietà delle autorizzazioni è stata interrotta. Consideralo la tua mappa delle "uscite di emergenza", utile se in seguito dovrai giustificare o correggere alcune decisioni.

Per approfondire come solidi framework di governance ti aiutano a tenere sotto controllo il caos in Teams, riducendo gli errori e rafforzando la sicurezza, consulta questa guida alla governance e alla collaborazione in Teams.

Gestione delle autorizzazioni e dei criteri delle app in Teams

In Microsoft Teams, le app, dai bot e dalle schede fino alle integrazioni complete, offrono funzionalità potenti ma sollevano importanti questioni di sicurezza e conformità. Chi decide quali app possono installare o usare gli utenti? Come impedire che un'app dall'aspetto innocuo porti via i tuoi file? È qui che entrano in gioco i criteri di autorizzazione delle app di Teams.

Questa sezione offre una panoramica di come gli amministratori possono controllare l'accesso alle app, partendo dal livello più alto, cioè bloccare tutte le app a livello di organizzazione, fino ad approvare un bot personalizzato per un solo gruppo di progetto. Scoprirai la differenza tra criteri di autorizzazione per le app (chi può usare cosa) e criteri di configurazione delle app (chi vede cosa per impostazione predefinita), oltre al processo di consenso dell'amministratore che tiene sotto controllo le app e i dati a cui accedono.

Vedremo anche perché questo è importante per una collaborazione sicura e conforme: le app si collegano a chat, file e perfino sistemi esterni. Comprendere questi controlli è l'unico modo per bilanciare innovazione e governance, soprattutto nei settori regolamentati o in progetti caratterizzati da ritmi serrati. Successivamente, il procedimento dettagliato, passo dopo passo, per impostare i criteri e gestire il consenso alle app sarà illustrato nel dettaglio.

Criteri di autorizzazione delle app e metodi di controllo

Definisci i criteri di autorizzazione delle app: gli amministratori iniziano creando criteri su misura per consentire o bloccare app specifiche, in base al nome, al tipo (di terze parti, Microsoft o personalizzate) oppure al pubblico di destinazione. Ad esempio, potresti bloccare per impostazione predefinita tutte le app di terze parti, consentendo solo le soluzioni attendibili caso per caso.
Assegna i criteri a utenti o gruppi: i criteri possono valere per tutti oppure essere limitati a determinati utenti, reparti o gruppi di Microsoft Entra ID (ex Azure AD). In questo modo i team più sensibili hanno controlli più stringenti, mentre le aree meno sensibili possono godere di maggiore flessibilità.
Richiedi la revisione delle app prima della pubblicazione: impone che le app (soprattutto quelle personalizzate o di recente aggiunta) vengano verificate sotto il profilo della conformità, della privacy e della sicurezza prima di renderle disponibili agli utenti. Questo può impedire che app indesiderate si insinuino e accedano ai dati aziendali.
Blocca o consenti le singole app: i controlli granulari permettono di bloccare le app ad alto rischio (come i connettori per la condivisione o l'archiviazione cloud non autorizzati dall'IT) oppure di consentire in modo specifico le app aziendali utili. Il modello «Blocca tutte le app eccetto» è il più rigoroso per i settori altamente regolamentati.
Automatizza con regole dei criteri: usa piattaforme di automazione e governance per mantenere aggiornate le autorizzazioni delle app e assicurarti che le modifiche non passino inosservate. Questo si collega alla governance più ampia di Teams: approfondisci le strategie nella panoramica sulla governance degli spazi di lavoro di Teams.

Calibrando i criteri di autorizzazione delle app, gli amministratori mantengono Teams flessibile per gli utenti senza rinunciare al controllo sulle app che si collegano al tuo ambiente.

Configurazione delle app e gestione del consenso in Teams

Criteri di configurazione delle app: questi criteri stabiliscono quali app vengono visualizzate fissate o preinstallate per gli utenti. Gli amministratori possono creare profili diversi: ad esempio, i team commerciali potrebbero vedere le app CRM e di pianificazione, mentre il reparto ingegneria avrà a disposizione strumenti per il tracciamento dei bug e per la revisione del codice. In questo modo gli utenti ottengono gli strumenti giusti senza doverli cercare.
Consenso dell'amministratore per le autorizzazioni delle app: molte app richiedono l'accesso a dati che vanno oltre ciò che è disponibile nella finestra di Teams dell'utente. Gli amministratori devono esaminare le autorizzazioni richieste (come la lettura di calendari, file o profili utente) e approvarle o negarle. Questo presidio impedisce che dati sensibili finiscano nelle mani sbagliate.
Flusso di richiesta da parte degli utenti: se un utente desidera un'app non ancora consentita dai criteri, può inviare una richiesta di revisione. Gli amministratori verificano di quali dati l'app ha bisogno, controllano la conformità e decidono se è adatta, il tutto prima che qualcuno possa iniziare a usarla.
Buone pratiche per l'onboarding delle app: prima di concedere il consenso, verifica sempre il principio del privilegio minimo (l'app deve chiedere solo ciò di cui ha realmente bisogno), la conformità in materia di residenza dei dati e gestione del ciclo di vita, nonché le certificazioni di sicurezza del fornitore, anche quando si tratta di un'app che «usano tutti». Per ulteriori indicazioni, consulta come i controlli basati sui ruoli mantengono conformi e sicuri strumenti come Copilot nella guida alla governance di Copilot.
Monitora l'uso delle app e revoca il consenso se necessario: usa i report di analisi e le dashboard per individuare le app rischiose o inutilizzate e rimuovile dove opportuno, per mantenere l'ambiente ordinato e conforme.

Configurazione delle autorizzazioni nell'interfaccia di amministrazione di Teams

Il Teams Admin Center è la tua sala di controllo per autorizzazioni, criteri e governance complessiva degli accessi. Che tu debba assegnare un nuovo criterio per le app, modificare le impostazioni dei canali per un gruppo VIP o verificare l'accesso degli ospiti in decine di team, questa dashboard ti mette a portata di mano gli strumenti necessari.

In questa sezione scoprirai le aree principali dell'interfaccia di amministrazione, ad esempio dove gestire utenti, team, criteri e app, tutte pensate per rendere le modifiche alle autorizzazioni semplici e tracciabili.

Le dashboard integrate, i report e i controlli di accesso basati sui ruoli non si limitano a semplificare la configurazione: ti aiutano a prevenire errori, individuare rapidamente le modifiche e documentare le tue decisioni se sorgono domande. Considera questa sezione il tuo playbook da amministratore, che mostra sia ai neofiti sia ai più esperti come lavorare in modo più intelligente, non più faticoso, per mantenere gli accessi allineati alle esigenze della tua organizzazione.

Le prossime sezioni illustrano nel dettaglio i suggerimenti di navigazione e i passaggi pratici per applicare criteri e autorizzazioni, senza bisogno di tirare a indovinare.

Navigare nel Teams Admin Center per il controllo degli accessi

Il Teams Admin Center è il portale web in cui gli amministratori gestiscono utenti, team, app e criteri. Per iniziare, accedi all'indirizzo admin.teams.microsoft.com. Il menu di navigazione a sinistra ti permette di passare da Utenti, Team, Dispositivi, App e Criteri, rendendo facile trovare ciò che ti serve.

Per modificare le autorizzazioni di un team o di un utente specifico, vai alla sezione "Team" o "Utenti". Da qui puoi gestire l'appartenenza ai team, assegnare ruoli, modificare le impostazioni dei canali o regolare i criteri di accesso. L'area "App di Teams" è il punto di riferimento per bloccare o approvare le app e distribuire criteri di autorizzazione a livello di organizzazione.

Se devi verificare o controllare le autorizzazioni, la dashboard dei report fornisce informazioni su chi ha accesso a cosa, sull'attività di installazione delle app e sulle tendenze di utilizzo. Sono disponibili anche strumenti per impostare le configurazioni globali per l'accesso degli ospiti e la condivisione esterna, che si applicano a tutti i team, salvo diversa impostazione. Per suggerimenti su organizzazione strutturata dei progetti e automazione, consulta questa guida passo passo all'organizzazione di Teams: collega Teams, SharePoint e automazione per i fondamenti della governance.

La sezione di guida integrata e i suggerimenti visualizzati nell'interfaccia di amministrazione offrono ulteriori indicazioni, rendendo molto più semplice fare la cosa giusta e correggere eventuali errori.

Configurazione dei criteri per team e utenti

Crea e assegna pacchetti di criteri: inizia utilizzando pacchetti di criteri predefiniti o personalizzati, che raggruppano impostazioni consigliate per messaggistica, riunioni, app e chiamate. Assegna questi pacchetti per utente, gruppo o organizzazione: ad esempio, chi lavora da remoto potrebbe aver bisogno di regole diverse rispetto al reparto finanziario.
Personalizza i criteri per utenti e team: modifica opzioni come chi può pianificare riunioni, registrare chiamate o invitare utenti esterni. I criteri possono essere stratificati: i criteri specifici per utente sostituiscono quelli globali, offrendo flessibilità dove serve di più.
Distribuisci criteri di gestione dei canali: limita chi può creare canali privati o condivisi, assegna ruoli di moderazione o controlla le autorizzazioni per gli inviti agli ospiti. In questo modo la struttura di Teams resta ordinata e conforme.
Verifica e monitora l'impatto dei criteri: usa le funzioni di report dell'interfaccia di amministrazione per controllare regolarmente le assegnazioni dei criteri e i relativi risultati. Individua le deviazioni dalle autorizzazioni previste e gli utenti o i team che non rispettano gli standard.
Governa con chiarezza: la documentazione è fondamentale: tieni traccia di ciò che ogni criterio copre e assicurati che i responsabili rendano conto del proprio operato. Per modelli che riducono il caos e rafforzano i controlli di accesso, consulta i principi di governance di Teams.

Un equilibrio tra criteri a livello di organizzazione e criteri specifici per utente garantisce collaborazione, flessibilità e conformità per l'intero ambiente Teams.

Protezione dell'accesso ai dati e della collaborazione esterna in Teams

Se qualcuno sussurra di "fughe di dati da Teams", è perché Microsoft Teams è ormai una delle destinazioni principali per file riservati, contratti e note di progetto. Proteggere questi dati e tenere sotto controllo chi entra dall'esterno dovrebbe essere la priorità di ogni amministratore.

Questa sezione è dedicata alle tecniche pratiche per proteggere i dati di Teams con strumenti come le etichette di riservatezza, le barriere di informazioni e controlli di accesso rigorosi. Riceverai anche una panoramica delle best practice per gestire la collaborazione con utenti esterni e ospiti, soprattutto ora che sempre più organizzazioni usano Teams per lavorare con fornitori, clienti e partner in tutto il mondo.

Trovare il giusto equilibrio è fondamentale: concedi solo l'accesso necessario per lavorare senza intoppi, ma mai così tanto da perdere di vista le esigenze di sicurezza e conformità. In questa sezione troverai esempi concreti e guide, come come rafforzare la sicurezza di Teams, che ti aiutano a proteggere l'ambiente senza rendere impossibile la collaborazione.

Proteggere i dati sensibili e gestire l'accesso ai dati

Applica le etichette di riservatezza: usa le etichette di riservatezza di Microsoft Purview per classificare e crittografare conversazioni, file e note delle riunioni in base al loro livello di riservatezza. Ad esempio, etichetta i file come «Riservato – Finanza» per crittografarli e limitarne la condivisione.
Usa le barriere di informazioni: configura le barriere di informazioni per impedire a gruppi soggetti a normative (come finanza e vendite, o team di progetto concorrenti) di comunicare o condividere file tra loro. Questo strumento è essenziale per i settori regolamentati e impedisce la «contaminazione incrociata» di informazioni sensibili.
Configura l'accesso per team e per canale: sfrutta le impostazioni di accesso di Teams per limitare chi può vedere o partecipare a un determinato spazio. Per i progetti più critici, combina questi controlli con i canali privati per un ulteriore livello di isolamento.
Integra con la conformità di Microsoft 365: configura i criteri di controllo, conservazione e DLP (prevenzione della perdita di dati). In questo modo tutte le chat e i file vengono monitorati per individuare violazioni di sicurezza o conformità. Per altre strategie di stratificazione, consulta strategie di hardening della sicurezza di Teams e come Copilot applica i confini dei dati per la privacy.
Previeni gli accessi non autorizzati: richiedi sempre l'MFA (autenticazione a più fattori), monitora gli accessi per individuare comportamenti rischiosi e blocca l'autenticazione legacy per ridurre i vettori di attacco.

Proteggere i dati sensibili di Teams non è solo una sfida tecnica: è la base per la gestione del rischio e la fiducia in tutta l'azienda.

Gestire le autorizzazioni degli ospiti e l'accesso degli utenti esterni

Abilita l'accesso degli ospiti con attenzione: attiva l'accesso degli ospiti solo quando l'organizzazione ne ha davvero bisogno e usa l'interfaccia di amministrazione di Teams per limitare ciò che gli ospiti possono fare, come creare o eliminare canali, invitare altri utenti o accedere ai file.
Configura impostazioni granulari per gli ospiti: controlla cosa possono vedere e fare gli ospiti a livello di team o di canale. Per i team con informazioni davvero sensibili, disattiva completamente l'accesso degli ospiti.
Imposta i flussi di onboarding: richiedi l'approvazione di uno sponsor per i nuovi utenti ospiti e assicurati che ogni ospite sia associato a un proprietario interno che possa verificarne regolarmente l'accesso.
Verifica e revoca gli accessi: controlla periodicamente tutti gli utenti esterni e rimuovi quelli che non hanno più una necessità di business. Gli account ospite orfani sono porte aperte per la perdita di dati.
Conosci i controlli B2B di Azure AD: le impostazioni degli ospiti di Teams vengono applicate sopra le impostazioni di collaborazione tra tenant di Azure AD, quindi verifica sempre entrambe per avere un quadro completo della sicurezza. Per saperne di più sulla difesa a più livelli, consulta le best practice di sicurezza di Teams.

Calibrare con precisione l'accesso degli ospiti mantiene il tuo «portico virtuale» accogliente, senza spalancarlo.

Modello delle autorizzazioni di Teams spiegato: gli errori più comuni

Questo elenco evidenzia gli errori più frequenti che le organizzazioni commettono nella gestione delle autorizzazioni di Microsoft Teams, con le soluzioni pratiche per mantenere la collaborazione sicura ed efficiente.

1. Trattare Teams come una semplice condivisione file

Errore: dare per scontato che le autorizzazioni di Teams funzionino esattamente come le tradizionali condivisioni file o cartelle. Teams utilizza una combinazione di gruppi di Microsoft 365, autorizzazioni dei siti SharePoint e impostazioni dei ruoli di Teams, quindi le modifiche in un punto non sempre si propagano come previsto.

Correzione: comprendi il modello a tre livelli (ruoli in Teams: proprietario/membro/ospite, appartenenza al gruppo di Microsoft 365 e autorizzazioni a livello di sito e libreria in SharePoint) e pianifica le modifiche alle autorizzazioni su tutti i livelli.

2. Assegnare troppi proprietari ai team

Errore: assegnare troppi proprietari ai team per delegare il controllo senza una governance. Questo aumenta il rischio di modifiche accidentali alla configurazione, inviti di ospiti o deriva delle appartenenze.

Correzione: limita i proprietari a un piccolo gruppo di amministratori di fiducia e usa processi di delega definiti. Dove opportuno, valuta l'uso di gruppi di Microsoft Entra ID per l'assegnazione dei proprietari.

3. Configurare in modo errato l'accesso degli ospiti

Errore: abilitare l'accesso degli ospiti a livello globale senza criteri chiari per l'accesso degli ospiti, con conseguente accesso esterno eccessivo ai dati sensibili.

Correzione: applica controlli condizionali per l'accesso degli ospiti in Microsoft Entra ID e nell'interfaccia di amministrazione di Teams, limita le funzionalità disponibili agli ospiti (chat, accesso ai file, ruoli nelle riunioni) e verifica periodicamente gli account ospite.

4. Ignorare le autorizzazioni di SharePoint e dei file

Errore: fare affidamento esclusivamente all'appartenenza a Teams per determinare l'accesso ai file. I file sono archiviati in SharePoint/OneDrive e possono avere collegamenti di condivisione e autorizzazioni separati.

Correzione: informa i proprietari sull'ereditarietà delle autorizzazioni in SharePoint, sui collegamenti di condivisione esterni e su come verificare le autorizzazioni a livello di file. Usa le etichette di riservatezza e l'accesso condizionale per proteggere i documenti.

5. Non usare etichette di riservatezza o DLP

Errore: non classificare e proteggere i contenuti sensibili condivisi in Teams, con il rischio di fuga di dati.

Correzione: implementa le etichette di riservatezza di Microsoft Purview e i criteri di prevenzione della perdita di dati (DLP) per controllare condivisione, crittografia e accesso in base alla classificazione dei contenuti.

6. Trascurare le impostazioni di riunioni e canali

Errore: lasciare le impostazioni predefinite di riunioni e canali, che consentono presentatori non desiderati, partecipanti anonimi o una moderazione dei canali non gestita.

Correzione: configura i criteri per le riunioni (chi può presentare, comportamento della sala d'attesa) e le impostazioni di moderazione dei canali. Usa modelli o criteri di riunione per le esigenze ricorrenti.

7. Gestione del ciclo di vita dei team non efficace

Errore: creare team senza scadenza o governance, con conseguente proliferazione, team orfani e appartenenze obsolete.

Correzione: implementa modelli di team, convenzioni di denominazione e criteri automatizzati per il ciclo di vita (scadenza, rinnovo, archiviazione) tramite l'interfaccia di amministrazione di Teams o PowerShell.

8. Monitoraggio e audit deboli

Errore: non monitorare le modifiche alle autorizzazioni, l'attività degli ospiti o gli accessi rischiosi. Senza audit è difficile individuare abusi o configurazioni errate.

Correzione: abilita il registro di controllo, imposta avvisi per le modifiche alle autorizzazioni e agli ospiti, e verifica regolarmente i log di accesso con Microsoft 365 Defender e i report di Microsoft Entra ID.

9. Mescolare account personali e aziendali

Errore: consentire agli utenti di accedere con account personali o di usare dispositivi non gestiti per Teams, aumentando il rischio di condivisioni incontrollate.

Correzione: applica criteri di accesso condizionale, richiedi la conformità dei dispositivi e limita gli accessi ad account gestiti. Informa gli utenti sui confini tra dati aziendali e personali.

10. Non documentare i criteri di autorizzazione

Errore: non disporre di ruoli, responsabilità e processi documentati per le modifiche alle autorizzazioni. Questo porta a decisioni incoerenti e a esposizioni accidentali.

Correzione: crea documentazione chiara e runbook per proprietari e amministratori che definiscano chi può creare team, invitare ospiti, modificare le impostazioni e a chi rivolgersi per le eccezioni.

Checklist rapida

Associa i ruoli di Teams alle autorizzazioni di SharePoint e Microsoft Entra ID.
Limita e verifica periodicamente le assegnazioni di proprietario.
Applica i controlli di accesso per gli ospiti e verifica gli utenti esterni.
Usa etichette di riservatezza e DLP per i contenuti sensibili.
Abilita l'audit e imposta avvisi per le modifiche alle autorizzazioni.
Implementa criteri di ciclo di vita per prevenire la proliferazione dei team.

Affrontare questi errori comuni ti aiuterà a implementare un modello di autorizzazioni per Teams sicuro e prevedibile, spiegato con chiarezza agli stakeholder e applicato in modo coerente.

Best practice per la gestione delle autorizzazioni in Teams

Hai davanti tutte le funzionalità, ma qual è il modo più intelligente di usarle ogni giorno? Questa sezione raccoglie best practice collaudate sul campo che rendono la gestione delle autorizzazioni in Teams semplice, anche nelle organizzazioni più complesse.

Dalla strutturazione di team e canali in modo chiaro alla revisione periodica dei membri e all'automazione della pulizia, queste checklist e tattiche aiutano a mantenere il tuo ambiente Teams sicuro e facile da usare. Nessuno ama il caos nelle autorizzazioni, ma con un po' di disciplina e automazione intelligente puoi evitarlo.

Troverai anche consigli pratici per risolvere i tipici grattacapi con le autorizzazioni: errori di accesso negato, ruoli che non funzionano come previsto o ospiti esterni che escono dal seminato. Per una visione più ampia su come mantenere Teams ordinato e conforme, non perdere i consigli ad alto impatto su governance e automazione del ciclo di vita, collegati in tutto il testo dalle guide alla governance di Teams e dalle strategie per eliminare la proliferazione.

Best practice per le autorizzazioni in Teams

Limita il numero di proprietari: mantieni due o tre proprietari per team per evitare blocchi accidentali o una deriva dei criteri.
Verifica regolarmente gli accessi: pianifica revisioni trimestrali per eliminare i membri non più attivi, rimuovere gli ospiti non necessari e individuare accessi esterni rimasti attivi.
Struttura team e canali in modo logico: organizzali per reparto, progetto o funzione aziendale per una gestione più semplice e meno confusione.
Automatizza le verifiche delle autorizzazioni: usa strumenti come Power Automate o i report integrati per individuare la deriva delle autorizzazioni e le risorse orfane. Scopri come l'automazione elimina la proliferazione in questa soluzione per la proliferazione di Teams.
Documenta modifiche ed eccezioni di governance: registra chi ha fatto cosa, soprattutto per le sostituzioni delle autorizzazioni, così da mantenere un registro di controllo pulito. Per approfondire, consulta i principi chiave della governance di Teams.

Risoluzione dei problemi comuni con le autorizzazioni di Teams

Accesso negato per un utente: verifica che il ruolo sia corretto in Azure AD e all'interno del team di destinazione. Controlla anche che un eventuale criterio di autorizzazione pertinente (ad esempio quello per gli ospiti o per l'installazione limitata di app) non sia stato disattivato nell'interfaccia di amministrazione.
Ruolo errato nel team o nel canale: se un utente non vede o non riesce ad accedere a un canale, verifica che sia stato aggiunto al team o, nel caso di canali privati, che sia stato invitato direttamente. Le assegnazioni dei ruoli a volte non sono più sincronizzate dopo modifiche ai gruppi: sincronizza di nuovo il gruppo o invita nuovamente l'utente.
Inviti per ospiti non riusciti: verifica le impostazioni di Azure AD B2B e i criteri di accesso per gli ospiti di Teams. Se la collaborazione esterna è bloccata a livello di organizzazione, nessuna modifica ai canali servirà a risolvere il problema.
Autorizzazioni in conflitto (accesso alle app o pubblicazione nei canali): cerca criteri sovrapposti, ad esempio un criterio globale che blocca l'uso delle app mentre un criterio specifico per utente lo consente. Di solito prevale l'impostazione più restrittiva.
Deriva delle autorizzazioni o membri "fantasma": proprietari o membri orfani possono accumularsi se nessuno controlla i team. Usa gli strumenti di reporting e l'automazione (come descritto in questa guida alla governance) per individuare e rimuovere gli account non necessari.

In caso di dubbio, inizia dai report dell'interfaccia di amministrazione di Teams e usa i log dei criteri per ripercorrere le modifiche. Aggiungi revisioni periodiche e risolverai la maggior parte dei grattacapi legati alle autorizzazioni prima che si presentino.

Autorizzazioni di SharePoint e Azure AD: cosa devono sapere gli amministratori di Teams

L'interazione tra le autorizzazioni di Teams, SharePoint e Azure AD è il punto in cui molte organizzazioni incontrano problemi. Ogni team ha un sito SharePoint associato per i file e un gruppo di Azure AD che tiene insieme i suoi membri: questo significa che le modifiche in un sistema possono riflettersi altrove, a volte in modi inattesi.

Questa sezione è la tua chiave di lettura per capire quando l'accesso ai file in Teams è controllato da Teams, quando è controllato da SharePoint e cosa succede quando le regole dei gruppi di Azure AD prevalgono o entrano in conflitto con le autorizzazioni specifiche di Teams. Conoscere queste relazioni fa la differenza tra una collaborazione fluida e un'esposizione accidentale dei dati.

I dettagli che seguono chiariscono dove le autorizzazioni si sincronizzano automaticamente, dove possono disallinearsi e quali sono le azioni di governance fondamentali per far funzionare insieme Teams, SharePoint e Azure AD. Per un confronto diretto su come cambia la sicurezza delle dashboard tra i due strumenti, consulta questa guida su Teams e SharePoint per Power BI.

Autorizzazioni del sito SharePoint e autorizzazioni del canale Teams

Ogni canale standard di un team in Microsoft Teams archivia i propri file in una cartella all'interno del sito SharePoint associato al team. L'appartenenza al team si mappa direttamente sulle autorizzazioni di SharePoint: i proprietari diventano proprietari del sito, i membri diventano membri del sito e gli ospiti diventano visitatori del sito. Quando qualcuno entra o esce da un team, il suo accesso al sito SharePoint si sincronizza automaticamente.

I canali privati, invece, sono un caso particolare. Ogni canale privato ha un proprio sito SharePoint dedicato con autorizzazioni uniche. Solo i membri aggiunti esplicitamente al canale privato possono accedere ai file che contiene: i proprietari del team che non sono membri del canale non possono vedere né modificare quei file. Questa configurazione migliora la sicurezza del lavoro riservato, ma gli amministratori devono tenere traccia di quali siti SharePoint sono collegati a quali canali.

Se modifichi manualmente le autorizzazioni direttamente in SharePoint (ad esempio aggiungendo qualcuno che non è membro del team), puoi interrompere la sincronizzazione per errore e creare confusione o rischi di esposizione. Cerca sempre di gestire l'accesso tramite Teams e ricorri a SharePoint solo nei casi particolari, documentando con cura queste eccezioni.

Per un approfondimento che confronta i modelli di sicurezza di Teams e SharePoint per dashboard e non solo, dai un'occhiata a sicurezza delle dashboard in Teams vs SharePoint.

Autorizzazioni dei gruppi di Azure AD e loro impatto sull'accesso a Teams

Accesso basato su gruppi: ogni team è collegato a un gruppo di Azure AD; quando aggiorni l'appartenenza al gruppo, aggiorni subito la composizione del team.
Licenze basate su gruppi: assegna Teams o altre licenze di Microsoft 365 tramite gruppi di Azure AD per automatizzare chi ottiene l'accesso man mano che le persone entrano in azienda o cambiano reparto.
Conflitti di ruolo: se le regole dei gruppi di Azure AD entrano in conflitto con le impostazioni di proprietario e membro del team, di solito prevale Azure AD. In altre parole, le modifiche ai gruppi possono sovrascrivere quelle fatte all'interno del team.
Provisioning e deprovisioning: rimuovere qualcuno dal gruppo di Azure AD lo esclude da tutti i team, le app e i file collegati, consentendo una gestione rigorosa del ciclo di vita e della sicurezza.
Risolvi i conflitti con gli audit: verifica regolarmente le appartenenze ai gruppi e i log di accesso di Teams per individuare incongruenze o accessi non voluti. Questi problemi di sincronizzazione tra sistemi sono una delle principali fonti di « insidie » nelle autorizzazioni.

Modello delle autorizzazioni di Teams spiegato: checklist

Usa questa checklist per verificare e configurare le autorizzazioni di Microsoft Teams secondo « teams permission model explained ».

Verifica le impostazioni a livello di tenant nell'interfaccia di amministrazione di Microsoft 365 (accesso per gli ospiti abilitato o disabilitato)
Controlla i ruoli di amministrazione di Teams assegnati (Teams Service Admin, Teams Communications Admin, Teams Communications Support Engineer)
Esamina i ruoli di Azure AD che influiscono su Teams (Global Admin, Privileged Role Administrator)
Assicurati che le impostazioni di accesso esterno a livello di organizzazione (federazione) siano configurate come richiesto
Verifica le impostazioni di accesso per gli ospiti nell'interfaccia di amministrazione di Teams (autorizzazioni per chat, canali e file)
Verifica i proprietari dei team e assicurati che ogni team abbia almeno un proprietario attivo
Conferma le funzionalità di membri e ospiti all'interno di Teams (creare, modificare ed eliminare canali, aggiungere schede e app)
Esamina l'appartenenza al canale privato e le regole sui proprietari (separa l'appartenenza dal team principale)
Configura la moderazione del canale e verifica che i moderatori siano assegnati correttamente
Imposta le restrizioni di accesso per gli ospiti per file, opzioni delle riunioni e chiamate, se necessario
Applica etichette di riservatezza ai team per controllare l'accesso esterno e la condivisione
Verifica i criteri di accesso condizionale che interessano Teams (posizione, dispositivo, requisiti MFA)
Assicurati che l'autenticazione a più fattori sia imposta dove richiesto per i ruoli con privilegi elevati
Configura i criteri di autorizzazione delle app e le impostazioni delle app a livello di organizzazione nell'interfaccia di amministrazione di Teams
Esamina i criteri di autorizzazione per le app personalizzate e di terze parti (consenti/blocca/sideload)
Controlla le impostazioni di condivisione di SharePoint e OneDrive che influiscono sulle autorizzazioni dei file di Teams
Convalida i criteri delle riunioni di Teams (chi può presentare, sala d'attesa, registrazione) per controllare l'accesso
Implementa le barriere delle informazioni se è richiesta la separazione dei gruppi
Verifica che i criteri di conservazione e conformità siano applicati alle chat e ai canali di Teams
Abilita audit e monitoraggio (log di controllo, Microsoft 365 Defender, Cloud App Security)
Esamina le impostazioni di accesso esterno e di collaborazione B2B in Azure AD
Pianifica revisioni periodiche delle autorizzazioni e ricertificazione di proprietari e membri
Documenta le decisioni sul modello delle autorizzazioni e pubblica le linee guida per i proprietari dei team
Organizza una formazione per i proprietari dei team sulle responsabilità dei ruoli e sui controlli delle autorizzazioni

Autorizzazioni in Microsoft Teams: articoli correlati e risorse aggiuntive

Qual è il modello di autorizzazioni di Teams, spiegato in parole semplici?

Il modello di autorizzazioni di Teams, spiegato: Microsoft Teams usa controlli basati su ruoli e sul consenso per gestire chi può fare cosa all'interno di un team, di un canale o di un'app. Combina i ruoli utente (proprietario, membro, ospite), i controlli di identità di Microsoft Entra, le autorizzazioni di SharePoint per i file e le autorizzazioni delle applicazioni tramite Microsoft Graph. Autorizzazioni e consenso determinano se un'applicazione o i singoli utenti possono accedere ai contenuti, agire per conto di un utente o gestire le impostazioni del team.

Quali sono i tipi principali di autorizzazioni in Microsoft Teams?

I tipi di autorizzazioni includono le autorizzazioni utente (proprietari, membri, ospiti), le autorizzazioni dell'applicazione (accesso solo app, concesso tramite Microsoft Graph), le autorizzazioni delegate (app che agiscono per conto dell'utente) e il consenso specifico per risorsa, ad esempio il consenso ad accedere alle risorse di un solo team o a un sito SharePoint separato per i file. Ci sono anche impostazioni gestite dall'amministratore nell'interfaccia di amministrazione di Microsoft Teams per il controllo a livello di tenant.

In che modo i ruoli utente influiscono sulle autorizzazioni all'interno del team?

I ruoli utente determinano chi può gestire le impostazioni del team, creare canali privati, aggiungere o rimuovere membri e modificare il nome del team. I proprietari hanno i privilegi più ampi per gestire le autorizzazioni in Microsoft Teams, i membri hanno diritti standard per partecipare e gestire i documenti, mentre gli ospiti hanno autorizzazioni limitate. Gli amministratori in Microsoft Entra o nell'interfaccia di amministrazione di Microsoft Teams possono sovrascrivere o configurare controlli aggiuntivi.

Qual è la differenza tra accesso delegato e autorizzazioni delle applicazioni?

L'accesso delegato significa che un'app accede alla risorsa per conto di un utente che ha effettuato l'accesso, quindi richiede autorizzazioni delegate; l'accesso richiede autorizzazioni delegate ogni volta che serve il contesto utente. Le autorizzazioni dell'applicazione (solo app) consentono a un'applicazione di accedere direttamente ai dati senza un utente connesso, spesso richiedendo il consenso dell'amministratore e autorizzazioni richieste di livello più elevato. Microsoft Graph espone entrambi i tipi e indica chiaramente le autorizzazioni richieste per ogni API.

Come funzionano autorizzazioni e consenso quando installi un'app di Teams?

Quando installi un'app, potresti vedere una richiesta di consenso che ti chiede di concedere autorizzazioni specifiche. Se l'app richiede l'accesso a informazioni sensibili o a risorse a livello di tenant, deve concedere il consenso un amministratore. Gli utenti possono acconsentire alle autorizzazioni delegate sui propri dati, a meno che un criterio non lo blocchi. Il consenso specifico per risorsa consente ai proprietari del team di permettere a un'app di accedere ai contenuti del team, in alcuni casi senza il consenso dell'amministratore a livello di tenant.

Quali sono le autorizzazioni richieste per bot, schede e connettori?

Le autorizzazioni richieste dipendono dalla funzionalità: i bot che inviano messaggi possono richiedere autorizzazioni delegate tramite Microsoft Graph, le schede che accedono ai file richiedono autorizzazioni di SharePoint, mentre i connettori possono richiedere accesso tramite webhook o accesso delle applicazioni. Gli sviluppatori dovrebbero consultare la documentazione di Microsoft Learn e di Microsoft Graph per conoscere le autorizzazioni esatte richieste e capire se si tratta di autorizzazioni delle applicazioni o di accesso delegato.

Come posso gestire le autorizzazioni di Microsoft Teams per un singolo team?

Per gestire le autorizzazioni all'interno di un singolo team, apri il menu accanto al nome del team, scegli Gestisci team e configura le autorizzazioni dei membri, quelle degli ospiti e i canali. Per l'accesso ai file, gestisci il sito SharePoint separato o le autorizzazioni di SharePoint per le librerie di documenti. I proprietari possono consentire o limitare la creazione di canali privati e di app all'interno del team, così da gestire efficacemente l'accesso.

Che cos'è il consenso specifico per risorsa e quando va usato?

Il consenso specifico per risorsa permette ai proprietari del team di concedere a un'app l'autorizzazione ad accedere solo ai contenuti di quel team, anziché a livello di tenant. È utile per consentire a un'app di gestire documenti, leggere messaggi o operare all'interno di un singolo team senza concedere autorizzazioni applicative più ampie. In questo modo si riduce l'esposizione di informazioni sensibili e si rispetta il principio del privilegio minimo.

Come si collegano Microsoft Entra e Azure AD alle autorizzazioni di Teams?

Microsoft Entra ID (Azure AD) gestisce le identità, le autorizzazioni degli utenti e i criteri di consenso che stanno alla base dell'accesso a Teams. Controlla chi può accedere, quali applicazioni possono richiedere il consenso e se gli amministratori devono concedere il consenso per le autorizzazioni delle applicazioni. I criteri di accesso condizionale e gli aggiornamenti di sicurezza vengono gestiti tramite Entra per proteggere l'accesso a Teams.

A cosa serve l'interfaccia di amministrazione di Microsoft Teams?

Il centro di amministrazione di Microsoft Teams è il punto in cui gli amministratori del tenant configurano le impostazioni a livello di organizzazione, i criteri di autorizzazione per le app, gestiscono i dispositivi abilitati per Teams e consultano i log di controllo. Gli amministratori possono controllare quali app sono consentite, bloccare autorizzazioni specifiche, definire l'esperienza di consenso per gli utenti e applicare criteri che limitano l'accesso alle app e le autorizzazioni delegate.

Come si integra Microsoft Teams con SharePoint e come funzionano le autorizzazioni tra i due servizi?

Ogni team in Teams è supportato da un sito SharePoint separato che archivia i file. Le autorizzazioni e la condivisione dei documenti sono gestite da SharePoint; gestire i documenti in Teams significa spesso gestire le autorizzazioni di SharePoint. I proprietari possono configurare chi può accedere al sito SharePoint separato e se gli utenti esterni possono accedere ai contenuti.

Che cosa significa «accede alla risorsa per conto dell'utente»?

Questa espressione si riferisce alle autorizzazioni delegate, in cui un'app agisce per conto dell'utente che ha effettuato l'accesso, usando i suoi privilegi per accedere a risorse come messaggi, file o appartenenza ai team. È tipico delle funzionalità delle app che richiedono il contesto dell'utente e richiede che l'utente o un amministratore conceda il consenso per tali autorizzazioni delegate.

Come posso consentire a un'app di accedere ai contenuti di un team senza concederle autorizzazioni complete sul tenant?

Usa il consenso specifico per risorsa oppure configura criteri di autorizzazione granulari per le app nel centro di amministrazione di Teams, per limitare l'accesso a un singolo team. Gli sviluppatori dovrebbero progettare le app in modo da richiedere solo le autorizzazioni specifiche strettamente necessarie e utilizzare le autorizzazioni delegate quando opportuno, così che l'app acceda ai contenuti solo quando l'utente è presente.

Che cos'è la richiesta di consenso e come influisce sugli utenti?

La richiesta di consenso è la finestra di dialogo visualizzata quando un'app richiede autorizzazioni. Elenca le autorizzazioni richieste e indica se è necessario il consenso dell'amministratore. L'esperienza varia: gli utenti possono acconsentire a autorizzazioni delegate a basso privilegio sui propri dati, mentre le autorizzazioni di applicazione a rischio più elevato o l'accesso a livello di tenant richiedono che un amministratore conceda il consenso, a tutela delle informazioni sensibili.

I singoli utenti possono gestire le autorizzazioni delle app nei loro team?

I singoli utenti possono installare app e concedere autorizzazioni delegate per i propri account, se i criteri del tenant lo consentono. Tuttavia, la gestione di autorizzazioni di applicazione più ampie, la concessione del consenso dell'amministratore e la modifica dei criteri a livello di organizzazione devono essere eseguite dagli amministratori in Microsoft Entra o nel centro di amministrazione di Teams. In alcuni casi, i proprietari dei team possono gestire le autorizzazioni delle app limitate al proprio team.

Come posso verificare quali app accedono alla risorsa o vi accedono per conto degli utenti?

Usa i log di controllo nel centro di amministrazione di Microsoft Teams e i log di accesso e di controllo di Microsoft Entra ID (Azure AD). Microsoft Graph mostra inoltre le autorizzazioni utilizzate dalle app. Verifiche e monitoraggio regolari aiutano a capire quali app possono accedere alle risorse, se un'app può accedere ai dati del tenant e quali autorizzazioni sono state concesse, così da poter reagire agli aggiornamenti di sicurezza e agli incidenti.

Quali sono le best practice per gestire efficacemente l'accesso e le informazioni sensibili?

Segui il principio del privilegio minimo: concedi solo le autorizzazioni specifiche necessarie, preferisci l'accesso delegato rispetto a quello solo applicativo quando è fattibile, usa il consenso specifico per risorsa, limita l'accesso degli ospiti e gestisci le impostazioni di team e SharePoint. Mantieni aggiornati i criteri di Microsoft Entra, verifica le autorizzazioni richieste dalle app nella documentazione di Microsoft Learn e di Graph, e applica gli aggiornamenti di sicurezza e i processi di supporto tecnico.

Come richiedono gli sviluppatori le autorizzazioni in Microsoft Graph per le app di Teams?

Gli sviluppatori dichiarano le autorizzazioni richieste nella registrazione dell'app in Microsoft Entra ID (Azure AD) e specificano se ciascuna autorizzazione è delegata o di applicazione. Dovrebbero usare la matrice delle autorizzazioni di Microsoft Graph per scegliere autorizzazioni specifiche, implementare il flusso della richiesta di consenso e supportare il consenso specifico per risorsa, quando l'API lo consente, per ridurre la necessità di un consenso concesso a livello di tenant.

Un'app può essere limitata a un singolo utente o solo ai team?

Sì, alcune autorizzazioni ed esperienze di consenso sono limitate a un singolo utente tramite autorizzazioni delegate; altre sono limitate a un team specifico tramite consenso specifico per risorsa. Le autorizzazioni di applicazione sono più ampie e di solito si applicano a livello di tenant, salvo diversa progettazione. Scegli l'ambito con il minor privilegio che supporta lo scenario dell'app.

Che cosa devo fare se un'app richiede troppe autorizzazioni?

Verifica le autorizzazioni richieste rispetto alle funzionalità dell'app, consulta la documentazione di Microsoft Graph e di Microsoft Learn per capire ciascuna autorizzazione, quindi rifiuta il consenso oppure chiedi al fornitore di ridurre le autorizzazioni necessarie. Gli amministratori possono bloccare l'app nell'interfaccia di amministrazione di Teams oppure richiedere il consenso dell'amministratore prima che l'app possa essere usata in tutto il tenant.

In che modo i canali privati influiscono su autorizzazioni e accesso ai file?

I canali privati creano una raccolta di siti separata in SharePoint, il che modifica l'accesso ai documenti, perché solo i membri del canale possono accedere a quel sito SharePoint dedicato. I proprietari devono gestire in modo esplicito appartenenza e autorizzazioni dei canali privati: creare un canale privato equivale, di fatto, a creare un sito SharePoint separato con autorizzazioni distinte.

Come posso rimuovere l'accesso di un'app dopo che il consenso è stato concesso?

Gli amministratori possono revocare il consenso alle applicazioni in Microsoft Entra (Azure AD), rimuovendo le autorizzazioni concesse alla registrazione dell'app o revocando i consensi concessi dagli utenti. I proprietari del team possono disinstallare l'app dal team per rimuovere l'accesso a livello di team, e gli amministratori SharePoint possono revocare l'accesso al sito SharePoint separato se l'app utilizzava autorizzazioni a livello di sito.

Dove posso trovare risorse aggiuntive e approfondimenti sulle autorizzazioni di Teams?

Consulta Microsoft Learn per le guide passo passo, la documentazione dell'interfaccia di amministrazione di Microsoft Teams, il riferimento alle autorizzazioni di Microsoft Graph e la documentazione di Microsoft Entra per la gestione di identità e consensi. Consulta gli articoli correlati sul sito della documentazione Microsoft per scenari dettagliati e usa i canali di supporto e di assistenza tecnica per ricevere aiuto specifico per il tuo tenant.