Ruoli Azure vs ruoli Microsoft Entra: cosa sbagliano gli amministratori cloud

By Mirko Peters · 2026-10-29

Smetti di confondere Azure RBAC con i ruoli di Microsoft Entra. Scopri le differenze fondamentali in termini di ambito, autorizzazioni e amministrazione per proteggere il tuo cloud.

Automatically translated with AI from the original post. Read the English original

I ruoli Azure e i ruoli di Microsoft Entra rappresentano due limiti di autorizzazione distinti, che spesso confondono gli amministratori cloud. Capire come funzionano questi due sistemi di autorizzazioni separati ti permette di assegnare i privilegi giusti alle identità giuste, senza concedere per errore un controllo eccessivo sull'infrastruttura o sui servizi di directory.

Punti chiave

• I ruoli Azure controllano l'accesso agli oggetti delle risorse cloud, come macchine virtuali, account di archiviazione e reti virtuali.
• I ruoli di Microsoft Entra ID governano le autorizzazioni a livello di directory, come il provisioning degli utenti, la creazione di gruppi e l'assegnazione delle licenze.
• Gli Amministratori globali non ricevono automaticamente il controllo completo delle sottoscrizioni Azure senza una configurazione esplicita.
• Comprendere gli ambiti distinti previene escalation di privilegi dannose e omissioni di sicurezza durante gli audit di conformità.

La divisione fondamentale: risorse contro directory

Quando inizi a gestire le autorizzazioni nell'ecosistema cloud di Microsoft, il termine "ruolo" compare in più interfacce di amministrazione. Questa sovrapposizione terminologica è in assoluto la fonte di confusione più comune per ingegneri, architetti e team di supporto. Il modo più semplice per avere le idee chiare è separare ciò che stai cercando di modificare.

I ruoli Azure controllano l'accesso alle risorse di Azure. Se il tuo compito prevede l'avvio di una macchina virtuale, la configurazione di una rete virtuale, la modifica di una regola del firewall o la lettura di file all'interno di un contenitore di archiviazione, stai operando nell'ambito di Azure Role-Based Access Control (RBAC). Queste autorizzazioni si applicano direttamente all'infrastruttura e ai livelli dei dati che girano all'interno delle tue sottoscrizioni cloud.

Al contrario, i ruoli di Microsoft Entra controllano l'accesso alle risorse di directory. Se il tuo compito prevede la creazione di nuovi account utente, la modifica dell'appartenenza ai gruppi, l'assegnazione di licenze di Microsoft 365 o il ripristino delle password, stai lavorando in Microsoft Entra ID. Queste azioni toccano il livello di identità dell'organizzazione, non quelli di calcolo o archiviazione.

Confondere questi due sistemi porta a pericolose scorciatoie amministrative. Un ingegnere che dà per scontato che i diritti sulla directory concedano l'accesso all'infrastruttura, o viceversa, richiederà spesso autorizzazioni eccessivamente ampie solo per completare il lavoro quotidiano. Mappare i propri compiti sul piano di autorizzazione corretto è la base di un'architettura cloud sicura.

Confronto tra ambiti e limiti

I limiti entro cui si estendono le autorizzazioni cambiano radicalmente a seconda che tu stia lavorando con un ruolo Azure o con un ruolo Entra ID. L'ambito determina il raggio d'impatto di qualsiasi errore, umano o automatizzato, ed è quindi essenziale padroneggiare la gerarchia di entrambi i sistemi.

Ambiti dei ruoli Azure

Azure RBAC si basa su un modello di ambiti rigorosamente gerarchico. Quando assegni un ruolo in Azure, lo applichi a uno dei quattro livelli specifici:

• Gruppo di gestione: il contenitore più ampio, che applica le autorizzazioni a più sottoscrizioni.
• Sottoscrizione: il limite per la fatturazione, la governance e un insieme di servizi correlati.
• Gruppo di risorse: una cartella logica che contiene risorse specifiche per un progetto o un ambiente.
• Risorsa: il livello più granulare, che si riferisce a una singola macchina virtuale, un singolo account di archiviazione o un singolo database.

Le autorizzazioni assegnate a un livello superiore vengono ereditate dai livelli inferiori. Se assegni il ruolo di lettore all'ambito del gruppo di gestione, quell'identità può vedere ogni risorsa in ogni sottoscrizione che si trova al suo interno.

Ambiti dei ruoli di Entra ID

I ruoli di Microsoft Entra non seguono la gerarchia delle risorse di Azure. Vengono invece assegnati a livello di tenant, tra le unità amministrative oppure a singoli oggetti, come un'applicazione aziendale registrata. Non è possibile assegnare un ruolo di Entra ID a un gruppo di risorse o a una macchina virtuale, perché questi oggetti non esistono nel grafo della directory allo stesso modo.

Il mito e la realtà dell'amministratore globale

Una delle convinzioni più diffuse nell'amministrazione cloud è che avere il ruolo di Amministratore globale in Microsoft Entra conceda il controllo illimitato su ogni sottoscrizione e risorsa dell'ambiente Azure. Non è così.

Poiché le risorse di Azure e gli oggetti della directory di Entra sono governati da sistemi di autorizzazione separati, un nuovo Amministratore globale non può visualizzare o gestire automaticamente le macchine virtuali presenti in una sottoscrizione finché non esegue un'azione esplicita. Tuttavia, un Amministratore globale ha il potere esclusivo di elevare i propri privilegi. Attivando un'apposita opzione di gestione degli accessi nel portale di Azure, può assegnare a se stesso il ruolo di Amministratore di accesso utente in tutte le sottoscrizioni del tenant.

Questo meccanismo impedisce agli amministratori di distruggere per errore infrastrutture di cui non conoscevano l'esistenza, ma crea un punto cieco per l'audit se l'organizzazione non monitora chi ha attivato l'opzione di elevazione. Trattare l'amministrazione della directory e l'amministrazione delle risorse di Azure come due discipline completamente diverse è essenziale per mantenere una postura di sicurezza solida.

Conclusione

Per orientarsi tra le sfumature delle autorizzazioni cloud bisogna capire che i ruoli di Azure e i ruoli di Microsoft Entra rispondono a padroni completamente diversi. Se mantieni le modifiche all'infrastruttura ancorate ad Azure RBAC e la gestione delle identità legata a Entra ID, elimini le ambiguità, riduci il raggio d'impatto di un eventuale incidente e superi con sicurezza gli audit di conformità.

Per approfondire come funziona il controllo degli accessi nell'ecosistema cloud Microsoft, non perderti la discussione correlata nel podcast. Ascolta l'episodio completo per approfondimenti chiari e privi di gergo tecnico, utili per padroneggiare l'architettura e le pratiche di sicurezza del cloud.

Domande frequenti

Un Amministratore globale ha automaticamente accesso allo storage e alle VM di Azure?

No. L'Amministratore globale gestisce il livello della directory (Entra ID) e non ha automaticamente accesso alle risorse di Azure, a meno che non elevi esplicitamente i propri privilegi usando l'opzione del portale per la gestione degli accessi utente nelle sottoscrizioni.

Qual è la differenza di ambito tra un ruolo di Azure e un ruolo di Entra ID?

I ruoli di Azure hanno come ambito i gruppi di gestione, le sottoscrizioni, i gruppi di risorse o le singole risorse. I ruoli di Entra ID hanno come ambito l'intero tenant, le unità amministrative o specifici oggetti applicazione.

Posso usare un ruolo di Entra ID per assegnare autorizzazioni su una specifica macchina virtuale di Azure?

No. I ruoli di Entra ID gestiscono oggetti della directory come utenti e applicazioni. Per gestire le autorizzazioni di una macchina virtuale o di un gruppo di risorse, devi usare il controllo degli accessi in base al ruolo di Azure (Azure RBAC).

Che fine fanno i ruoli di amministratore classico delle sottoscrizioni in Azure?

Microsoft ha ritirato completamente i ruoli di amministratore classico come Amministratore dell'account, Amministratore del servizio e Coamministratore. Tutta la gestione moderna degli accessi passa esclusivamente attraverso Azure RBAC.