Sicurezza e autorizzazioni di Azure Lighthouse: come gestire in sicurezza l'accesso cloud multi-tenant

By Mirko Peters · 2026-10-21

Scopri come funziona la sicurezza di Azure Lighthouse, come applicare il privilegio minimo tra i tenant e come i clienti mantengono il pieno controllo del proprio cloud.

Automatically translated with AI from the original post. Read the English original

La sicurezza di Azure Lighthouse si basa su principi di privilegio minimo, proiezioni logiche delle risorse e confini rigorosamente controllati dal cliente, che consentono ai fornitori di servizi gestiti di amministrare ambienti cloud multi-tenant senza mai possedere password di amministratore, usando ruoli predefiniti di Azure e tracce di controllo permanenti.

Punti chiave

• I clienti mantengono l'autorità assoluta sui propri tenant Azure definendo ambiti precisi e ruoli predefiniti.
• Le definizioni e le assegnazioni di registrazione funzionano come una stretta di mano permanente, verificata da Azure a ogni operazione.
• I ruoli Proprietario completi e l'accesso al piano dati non sono affatto supportati nelle deleghe di Azure Lighthouse.
• I provider operano tramite proiezioni logiche nel proprio portale, senza condividere password o credenziali utente.
• I log delle attività registrano ogni modifica nel tenant del cliente, offrendo una traccia di controllo trasparente.

L'architettura di sicurezza di Azure Lighthouse

In passato, gestire più ambienti cloud richiedeva la creazione di account amministrativi dedicati in ogni singolo tenant cliente. Questo metodo generava gravi rischi di sicurezza, lunghi elenchi di password temporanee e credenziali dimenticate in sistemi esterni. Azure Lighthouse cambia radicalmente questo scenario, introducendo un passaggio sicuro e legato da vincoli crittografici tra mondi cloud separati.

Invece di unire i tenant o condividere credenziali, Lighthouse usa una proiezione logica. Le risorse del cliente restano interamente nel proprio ambiente cloud, cioè nel loro tenant, nella loro sottoscrizione e nei loro gruppi di risorse. Il provider di servizi gestiti visualizza queste risorse attraverso un accesso sicuro dal proprio tenant di gestione. Ogni richiesta inviata dal provider passa per il livello di convalida centrale di Azure, che verifica continuamente la documentazione di autorizzazione prima di consentire l'esecuzione di qualsiasi comando.

La stretta di mano in due parti

La sicurezza di Azure Lighthouse non si basa su una fiducia cieca: è ancorata a due file di configurazione JSON immutabili, distribuiti direttamente dall'amministratore di livello superiore del cliente.

La prima parte è la definizione di registrazione. Questo documento risiede nell'account del cliente e specifica in modo esplicito quale organizzazione esterna è considerata attendibile e quali ruoli predefiniti specifici le vengono concessi. La seconda parte è l'assegnazione di registrazione, che funziona da indirizzo e collega la definizione a una sottoscrizione o a un gruppo di risorse specifico.

Poiché questi componenti risiedono nel tenant del cliente, il controllo è completamente nelle sue mani. Se un contratto termina, il cliente può eliminare l'assegnazione di registrazione, chiudendo immediatamente l'accesso senza bisogno della collaborazione del fornitore di servizi.

Applicare il privilegio minimo in ambienti multi-tenant

Un principio fondamentale della sicurezza cloud moderna è il principio del privilegio minimo, cioè concedere a utenti e sistemi solo il minimo indispensabile di autorizzazioni per svolgere i propri compiti. Azure Lighthouse rende semplice applicare questo principio, perché associa le autorizzazioni a gruppi di sicurezza, entità servizio e account di automazione, anziché ai singoli utenti.

Ad esempio, un managed service provider può strutturare l'accesso del proprio team su più livelli distinti:

• Team di supporto: ha il ruolo Lettore per controllare lo stato delle macchine virtuali e i log diagnostici, senza apportare modifiche.
• Ingegneri della migrazione: hanno il ruolo Collaboratore su gruppi di risorse specifici per distribuire i carichi di lavoro e applicare gli aggiornamenti.
• Script di automazione: utilizzano account di servizio personalizzati con ambito limitato per eseguire i backup notturni e la raccolta della telemetria.

Questo approccio granulare garantisce che un errore umano o credenziali compromesse a livello di provider non possano propagarsi e causare danni catastrofici in tutti gli ambienti dei clienti gestiti.

Limitazioni dei ruoli predefiniti come barriere di sicurezza

Per proteggere le organizzazioni da un'eccessiva concessione di autorizzazioni, Azure Lighthouse applica rigide barriere su ciò che può e non può essere delegato. In particolare, il ruolo Proprietario, quello di livello più alto, non è affatto supportato all'interno di una delega di Lighthouse. Un provider di servizi non potrà mai ricevere la capacità di assegnare autorizzazioni ad altri né di assumere la proprietà completa della sottoscrizione del cliente.

Inoltre, i ruoli che concedono l'accesso ai piani dati, come la lettura dei file all'interno dei contenitori di Archiviazione BLOB di Azure o la visualizzazione dei record di un database, non possono essere delegati tramite Lighthouse. Lighthouse gestisce i piani di controllo dell'infrastruttura, garantendo che la supervisione amministrativa non sconfini mai in violazioni della privacy dei dati.

Tracce di audit e monitoraggio della conformità

I responsabili della conformità spesso si allarmano all'idea che fornitori esterni accedano all'infrastruttura cloud aziendale fondamentale. Azure Lighthouse attenua questa preoccupazione mantenendo, dal lato del cliente, una traccia meticolosa e a prova di manomissione.

Ogni singola azione compiuta da un utente del provider, che si tratti del riavvio di una macchina virtuale, della modifica di una regola del firewall o dell'aggiornamento delle impostazioni di rete, viene registrata direttamente nel log attività di Azure del cliente. Poiché questi log risiedono nel tenant del cliente, il provider esterno non può modificarli né eliminarli. Gli amministratori IT possono eseguire audit periodici per rispondere a domande cruciali sulla sicurezza: chi ha toccato questa risorsa? Quando è stata modificata? Quale comando esatto è stato eseguito?

Inoltre, le aziende possono abbinare Azure Lighthouse a Privileged Identity Management (PIM) per richiedere un'elevazione di privilegi just-in-time. Invece di mantenere diritti di collaboratore permanenti, gli ingegneri del provider possono richiedere l'accesso solo quando si verifica un incidente, con approvazioni registrate e limiti di tempo applicati automaticamente.

Conclusione

Azure Lighthouse risolve la tensione costante tra una sicurezza cloud solida e una gestione multi-tenant efficiente. Sostituendo la condivisione delle password con una gestione delle risorse delegata, verificata crittograficamente e controllata dal cliente, i responsabili IT possono scalare le proprie operazioni senza compromettere la postura di sicurezza. Per approfondire i concetti di base alla base di questa architettura, non perdere l'occasione di ascoltare l'episodio completo del podcast M365 FM, con una spiegazione chiara e senza gergo della gestione moderna del cloud.

Domande frequenti

Un provider di Azure Lighthouse può visualizzare le password della mia organizzazione?

No. Azure Lighthouse non espone, non trasferisce e non condivide mai password o credenziali utente tra tenant. I provider si autenticano con i propri sistemi di identità aziendali e operano sulle tue risorse tramite proiezioni logiche.

Cosa succede agli accessi di Azure Lighthouse se un provider subisce una violazione?

Poiché l'accesso è rigorosamente limitato ai ruoli predefiniti e alle risorse specifici definiti nell'assegnazione di registrazione, ed esclude il ruolo Proprietario, l'impatto di un'eventuale violazione è strettamente contenuto. Inoltre, il cliente può revocare immediatamente l'accesso eliminando l'assegnazione di registrazione dal proprio portale.

Azure Lighthouse supporta i ruoli RBAC personalizzati?

No. Azure Lighthouse supporta solo i ruoli predefiniti di Azure forniti da Microsoft. I ruoli personalizzati creati nel tenant del provider o del cliente non possono essere utilizzati nelle definizioni di registrazione.

Chi ha l'autorità per configurare Azure Lighthouse in un tenant cliente?

Solo un utente con accesso privilegiato elevato, in particolare un account con autorizzazioni che consentono di assegnare ruoli a livello di sottoscrizione o di gruppo di risorse, come User Access Administrator o Owner, può distribuire il modello di registrazione e stabilire la connessione.