Guida alla configurazione di Microsoft Entra PIM

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Configura Microsoft Entra Privileged Identity Management: verifica i prerequisiti, assegna i ruoli idonei, imposta MFA e approvazioni, e testa l'attivazione dei ruoli.

Automatically translated with AI from the original post. Read the English original

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

Risposta rapida: per configurare Microsoft Entra PIM, individua i ruoli con privilegi, assegna dei responsabili, limita nel tempo l'accesso idoneo dove serve, definisci i requisiti di approvazione e MFA, configura le notifiche e testa l'attivazione e i processi di emergenza. Inizia dai ruoli amministrativi ad alto impatto e verifica periodicamente le assegnazioni, così che l'accesso privilegiato non diventi permanente per impostazione predefinita.

Se lavori nella sicurezza IT o gestisci ambienti cloud Microsoft, sai che il rischio maggiore si concentra proprio sugli accessi privilegiati. Questa guida ti accompagna attraverso i fondamenti di Privileged Identity Management (PIM) con Microsoft Entra ID, così potrai proteggere con sicurezza i ruoli più critici e le risorse sensibili.

Vedremo tutto, da cos'è PIM e perché ti serve, fino alla configurazione dei ruoli, all'impostazione dell'accesso just-in-time (JIT) e all'automazione delle configurazioni per team numerosi. Troverai anche passaggi pratici per audit, conformità e governance a prova di manomissione, che tu gestisca 20 utenti o 20.000. Preparati a dire addio al privilege creep e ai diritti di amministratore a sorpresa, facendo in modo che le approvazioni scorrano come un orologio e che i team di sicurezza dormano un po' più tranquilli.

Privileged Identity Management e il suo valore

Privileged Identity Management, o PIM, serve a controllare chi detiene le chiavi del regno nel cloud. Con tanti attacchi che puntano agli account amministrativi, lasciare questi privilegi sempre aperti è rischioso. PIM ribalta la prospettiva: consente agli utenti di «attivare» i diritti elevati solo quando servono, per poi revocarli automaticamente al termine del lavoro. Si chiama accesso privilegiato just-in-time (JIT).

L'accesso amministrativo permanente, cioè amministratori con diritti 24/7, crea un grande bersaglio. Un uso improprio, un errore o anche un account compromesso possono trasformarsi in un disastro in fretta. Gli attaccanti cercano proprio questi privilegi sempre attivi. Con PIM puoi applicare il just-enough-access (JEA), assicurando che le persone ottengano solo i permessi esatti di cui hanno bisogno, e solo quando ne hanno davvero bisogno.

PIM non è solo paranoia sulla sicurezza: riguarda la responsabilità e la riduzione dei danni accidentali. Mantenendo una traccia verificabile di chi ha elevato i privilegi, quando e perché, puoi dormire molto meglio sapendo che nessun abuso di privilegi avviene dietro le quinte. Per un esempio concreto di abuso di privilegi, anche con MFA attivo, dai un'occhiata a questo caso dettagliato di violazione di Microsoft 365, che mostra perché una governance rigorosa e il monitoraggio sono indispensabili nel panorama attuale delle minacce.

In sintesi, PIM ti aiuta a restare conforme, a tenere sotto controllo il privilege creep e a reagire rapidamente quando arrivano gli auditor.

Come Microsoft Entra ID potenzia la gestione degli accessi privilegiati

Microsoft Entra ID, in precedenza noto come Azure Active Directory (Azure AD), è molto più di un semplice sistema di accesso. È il centro di comando della sicurezza delle identità: la base per gestire l'accesso degli utenti, applicare i criteri e tenere sotto stretta osservazione i ruoli amministrativi più potenti.

Quando attivi PIM in Entra ID, entri in una piattaforma di governance unificata. Ogni assegnazione di ruolo, richiesta di attivazione e approvazione viene tracciata e gestita attraverso un'unica interfaccia familiare: il portale di Azure. Questo significa meno lacune, meno confusione e una separazione netta tra attività ordinarie e attività privilegiate.

Entra ID porta in gioco anche l'accesso condizionale e l'autenticazione a più fattori, così puoi impostare controlli automatici ogni volta che viene attivato un ruolo privilegiato. Questo non solo scoraggia gli attacchi, ma semplifica anche la conformità e gli audit interni. Ti interessa l'identità come piano di controllo e perché l'accesso condizionale è importante per una sicurezza cloud scalabile? Ascolta questo episodio del podcast su Entra ID e accesso condizionale per alcune strategie pratiche e concrete.

E per chi sta implementando la governance a livello aziendale, Entra ID si integra con Azure Policy, RBAC e gli strumenti di applicazione automatica dei criteri. Questo costituisce la base di un modello di sicurezza cloud ben progettato—per saperne di più consulta Azure Enterprise Governance Strategy—e aiuta le organizzazioni a evitare il caos e a mantenere controlli resilienti e ben documentati man mano che crescono.

Prerequisiti di implementazione di PIM e requisiti di licenza

Prima di poter distribuire Privileged Identity Management nel tuo ambiente Microsoft, è fondamentale assicurarsi che le basi siano pronte. Non è una di quelle funzionalità da "configura e dimentica": ti servono i giusti elementi tecnici e alcune caselle di licenza da spuntare per iniziare.

PIM dipende molto dal livello di Entra ID (Azure AD) che la tua organizzazione possiede. Per avere accesso completo alle funzionalità di PIM, inclusi l'onboarding delle risorse e i controlli granulari, la licenza Azure AD Premium P2 è indispensabile. Altrettanto importante è capire quali utenti dell'organizzazione hanno bisogno di quali licenze, perché sia gli utenti sia gli approvatori devono essere coperti correttamente prima di interagire con i ruoli privilegiati.

Un altro tassello: prepara i ruoli Azure corretti per la gestione stessa di PIM. Alcune attività di configurazione e impostazione possono essere eseguite solo da Global Administrator o Privileged Role Administrator, quindi pianificare in anticipo l'approccio amministrativo aiuta a evitare intoppi frustranti più avanti.

La sezione successiva approfondisce come assegnare queste licenze e come garantire che tutti coloro che hanno bisogno di accesso, dagli utenti finali agli approvatori, siano in grado di sfruttare al meglio PIM, senza incappare in errori di autorizzazione o sorprese.

Assegnare le licenze agli utenti e agli approvatori PIM

Seleziona utenti e approvatori: individua chi deve richiedere o approvare l'accesso privilegiato: possono essere membri del team IT, personale dell'help desk o responsabili di team.
Vai al portale di Azure: accedi a Azure Active Directory > Licenze > Tutti i prodotti e seleziona la licenza Premium P2 appropriata.
Assegna le licenze: fai clic su "Assegna", quindi aggiungi gli utenti selezionati. Per maggiore efficienza puoi assegnare la licenza a singoli utenti o a interi gruppi.
Verifica l'assegnazione: controlla la pagina di panoramica delle licenze dell'utente per confermare. Da quel momento potrà richiedere o approvare le richieste PIM senza difficoltà.

Configurare PIM: assegnazioni di ruolo e modelli di accesso

Ora che licenze e prerequisiti sono pronti, è il momento di entrare nel cuore di PIM: configurare le assegnazioni di ruolo e proteggere le risorse cloud sensibili. La prima cosa da affrontare è scegliere come gli utenti ottengono l'accesso, se come amministratori idonei (on-demand) o attivi (sempre attivi), e definire modelli di accesso che si adattino davvero alla struttura del tuo team.

Il cuore di PIM sta nell'impostare i ruoli "idonei", il che significa che le persone non dispongono di diritti di amministrazione permanenti, ma possono richiederli quando necessario. Questo riduce drasticamente gli accessi non necessari e aiuta a prevenire l'accumulo di privilegi (il cosiddetto "privilege creep") fin dall'inizio. Conviene inoltre valutare quali utenti o gruppi debbano ricevere l'idoneità, per gestirla più facilmente su larga scala.

Il passo successivo consiste nel far entrare effettivamente le risorse e i ruoli Azure in PIM per un controllo e un monitoraggio solidi. Ogni ruolo privilegiato, come Global Administrator, Security Administrator o Subscription Owner, viene mappato, protetto e governato, così da sapere in ogni momento chi ha le chiavi (e per quanto tempo). Per un approfondimento sul motivo per cui la governance applicata e i modelli di ruolo documentati sono importanti, consulta la guida Azure Enterprise Governance Strategy.

Pronto a passare alla pratica? Le sezioni seguenti analizzano le assegnazioni idonee e attive, la configurazione dell'idoneità per utenti e gruppi e le best practice di PIM per l'onboarding dei ruoli Azure più critici.

Capire la differenza tra assegnazioni di ruolo privilegiato idonee e attive

Un'assegnazione di ruolo idonea significa che un utente può richiedere l'accesso elevato quando serve, ma non possiede quei privilegi 24 ore su 24. Questo è l'accesso just-in-time (JIT) in azione. Una volta completata l'attività, i permessi vengono rimossi automaticamente, chiudendo la porta alle sue spalle.

Le assegnazioni attive, invece, concedono agli utenti privilegi permanenti. È una scelta rischiosa, perché lascia l'ambiente esposto a errori accidentali o a sfruttamenti. Le best practice di sicurezza privilegiano con decisione le assegnazioni idonee (eligible), per ridurre la superficie di attacco, limitare le minacce interne e semplificare molto l'applicazione dei criteri e gli audit.

Assegnare l'idoneità a utenti e gruppi

Vai a Ruoli PIM: apri Microsoft Entra ID nel portale di Azure e vai su Privileged Identity Management > Ruoli di Azure AD.
Seleziona il ruolo di destinazione: scegli il ruolo amministrativo o di risorsa che vuoi controllare (ad esempio Amministratore globale o Amministratore utenti).
Assegna utenti o gruppi: scegli «Aggiungi assegnazioni» e seleziona singoli utenti o interi gruppi di sicurezza, un approccio ideale per una gestione scalabile.
Imposta il tipo di assegnazione: imposta «Idoneo» invece di «Attivo» per seguire il principio del privilegio minimo e mantenere le attività verificabili.

Proteggere i ruoli privilegiati di Azure con l'assegnazione di ruoli PIM

Aggiungi le risorse: inserisci in PIM i ruoli e le sottoscrizioni di Azure критici per iniziare, seguendo le indicazioni di onboarding del portale.
Assegna l'idoneità: solo gli utenti designati e i gruppi approvati ricevono assegnazioni idonee, garantendo un accesso a tempo alle risorse sensibili.
Imposta i criteri di attivazione: richiedi attivazioni just-in-time con campi di giustificazione, flussi di approvazione o riferimenti a ticket per una sicurezza aggiuntiva.
Esamina le raccomandazioni di sicurezza: il portale mostra suggerimenti, come l'uso di account di emergenza (break-glass) e la revisione della cronologia degli accessi, così sei sempre pronto per un audit e un passo avanti rispetto a un uso improprio dei privilegi.
Per approfondire la governance su larga scala, consulta la guida alle best practice di governance di Azure per mantenere modelli di accesso puliti e sotto controllo il disallineamento dei criteri.

Gestire richieste e approvazioni di accesso PIM

Una volta predisposti ruoli e assegnazioni PIM, il flusso quotidiano di attivazione, approvazione o rifiuto dell'accesso privilegiato diventa centrale per mantenere il controllo. È il punto in cui si passa dalla configurazione alle operazioni ordinarie: gli utenti richiedono privilegi elevati solo quando devono agire e gli amministratori vedono chiaramente chi chiede cosa.

Capire il processo di richiesta e approvazione aiuta a far funzionare tutto con precisione. Gli utenti sanno esattamente come chiedere l'accesso: indicano le motivazioni, inseriscono i numeri di ticket e attendono il via libera. Gli approvatori, dal canto loro, ricevono le notifiche e possono esaminare tutto in un unico punto prima di consegnare le chiavi (o chiudere la porta se qualcosa non torna).

Questi flussi possono anche essere personalizzati con passaggi di approvazione, validazioni in più fasi e domande aggiuntive per i ruoli particolarmente sensibili. Si ottiene così un registro di controllo sempre aggiornato per ogni assegnazione privilegiata, fondamentale per le esigenze di conformità e per tenere d'occhio le attività insolite.

Le sezioni seguenti illustrano entrambi i lati del processo: come gli utenti presentano le richieste di accesso e come gli amministratori o gli approvatori designati le fanno avanzare o le respingono.

Passaggi per inviare e attivare una richiesta PIM

Accedi: l'utente effettua l'accesso al portale di Azure con le credenziali standard.
Invia la richiesta: vai in PIM, scegli il ruolo idoneo e fai clic su «Attiva». Compila i campi obbligatori (giustificazione, numero di ticket, durata).
Flusso di approvazione: in base ai criteri, la richiesta viene inoltrata a un approvatore per la revisione; per i ruoli a basso rischio è talvolta attiva l'approvazione automatica.
Notifiche inviate: l'utente riceve una notifica al momento dell'approvazione; gli aggiornamenti di stato arrivano in tempo reale.
Accesso concesso: una volta attivato, l'utente ottiene privilegi elevati per il periodo specificato, poi scadono automaticamente.

Come approvare o rifiutare le richieste PIM idonee

Esamina la richiesta: l'approvatore riceve un'email o un avviso nel portale per l'attivazione in sospeso.
Valuta i dettagli: verifica la giustificazione dell'utente, il numero di ticket collegato e la durata richiesta rispetto ai criteri e all'attività recente.
Approva o rifiuta: seleziona «Approva» per concedere l'accesso oppure «Rifiuta» se qualcosa non va; ogni azione viene registrata a fini di audit.
Invia un riscontro: se lo ritieni opportuno, invia un messaggio al richiedente per spiegare la decisione, soprattutto se servono passaggi aggiuntivi o ulteriori informazioni.

Proteggere l'accesso degli utenti e la governance con PIM

Non si tratta solo di chi ottiene l'accesso privilegiato, ma anche di assicurarsi che ogni attivazione sia sotto stretto controllo. Gli attacchi moderni possono aggirare le password e perfino l'MFA, quindi devi rafforzare le difese con criteri condizionali a più livelli e gruppi ben organizzati.

L'autenticazione a più fattori (MFA) è la tua prima linea di difesa. Combinala con l'accesso condizionale, così che solo i dispositivi conformi e le posizioni attendibili possano approvare o attivare i ruoli. La gestione basata su gruppi mantiene puliti i pattern di accesso e scalabili: puoi gestire decine o migliaia di utenti senza sommergerti di lavoro amministrativo.

Gruppi ben strutturati semplificano anche l'applicazione dei criteri su larga scala, permettendoti di adattarti man mano che i team crescono o i progetti cambiano nel tempo. Questo vale soprattutto quando la tua presenza nel cloud cresce e sempre più utenti hanno bisogno di privilegi elevati, sia per attività nativamente cloud sia per attività ibride (on-premises).

Per approfondire l'identità come piano di controllo e capire come la proliferazione dei criteri di accesso condizionale porti a rischi imprevedibili, dai un'occhiata a questo podcast dettagliato sulla sicurezza di Entra ID. Se lavori con Power Platform o hai molti "citizen developer" in giro, questa guida alla governance illustra anche le best practice per proteggere questi ambienti.

Proteggere gli utenti che accedono a ruoli privilegiati con MFA e accesso condizionale

Imponi l'MFA per tutte le attivazioni: richiedi l'autenticazione a più fattori ogni volta che un utente attiva un ruolo privilegiato, riducendo il rischio di compromissione se le credenziali vengono divulgate.
Applica l'accesso condizionale: usa criteri di accesso condizionale basati sulla conformità del dispositivo, sulla posizione dell'utente e sul livello di rischio, in modo che solo le sessioni attendibili possano attivare i ruoli sensibili. Adatta questi criteri quando necessario, ma restringi sempre più di quanto allenti.
Definisci i requisiti di attivazione: per i ruoli particolarmente sensibili, richiedi approvazioni aggiuntive o una giustificazione durante il processo di attivazione: questo aiuta a tenere sotto controllo l'uso improprio dei privilegi.
Vuoi saperne di più sulla progettazione di criteri sicuri e prevedibili? Approfondisci le baseline dei criteri e i suggerimenti per il monitoraggio in questa guida ai problemi di attendibilità dell'accesso condizionale.

Creare gruppi di sicurezza per un controllo efficace dell'accesso PIM

Crea gruppi specifici per ruolo: crea gruppi di sicurezza dedicati ai ruoli privilegiati principali, così da poter assegnare idoneità o assegnazioni attive in blocco.
Assegna in modo coerente: mantieni aggiornata l'appartenenza ai gruppi tramite automazione o revisioni periodiche, rendendo l'accesso scalabile e revocabile in qualsiasi momento.
Integra con la governance: abbina l'uso dei gruppi a modelli di governance chiari. Trovi altri suggerimenti per i team numerosi e per l'innovazione sicura in questa guida alla governance della sicurezza di Power Platform.

Automatizzare e verificare PIM per maggiore efficienza e conformità

Una volta che la configurazione di PIM funziona a regime, la sfida successiva è la scalabilità: gestire centinaia o migliaia di utenti privilegiati, tenere traccia di ogni attivazione di ruolo e fornire ai team di conformità report semplici e accurati. In questo, automazione e audit solidi sono i tuoi alleati.

Con PowerShell e Microsoft Graph API puoi automatizzare tutto, dall'assegnazione in blocco dell'idoneità alla revoca pianificata dell'accesso. Questo riduce lo sforzo amministrativo, limita gli errori manuali e aiuta a mantenere aggiornati ruoli e gruppi man mano che le persone entrano e escono dall'organizzazione.

L'audit non serve solo a spuntare caselle. Devi registrare in tempo reale ogni evento di attivazione, approvazione e rifiuto, e impostare avvisi per tutto ciò che è sospetto: attivazioni inattese o fallite, escalation dei privilegi o scostamenti dalle baseline dell'accesso condizionale.

Report completi ed esportabili rendono semplice la conformità a SOX, HIPAA o qualsiasi altra normativa importante. Se la sicurezza è una priorità, scopri come sfruttare i log di audit avanzati e il monitoraggio tramite Microsoft Purview Audit, e resta sintonizzato sulle nuove opzioni di automazione che Microsoft continuerà a introdurre in questi strumenti.

Automatizzare l'assegnazione dei ruoli PIM con PowerShell

Assegnazione idonea in blocco: scrivi uno script per aggiungere grandi elenchi di utenti o gruppi ai ruoli idonei con i moduli PowerShell di AzureAD o Microsoft Graph, così non devi lavorare account per account nel portale.
Pianifica le assegnazioni: automatizza le assegnazioni a tempo che scadono in automatico per collaboratori esterni o personale temporaneo, con data di inizio e di fine definite direttamente nei tuoi script.
Controlla le modifiche: registra ogni assegnazione o revoca tramite il logging dello script. Se incontri disallineamenti delle risorse o errori, i ripristini basati su script rendono la pulizia semplice e veloce.
Se vuoi rafforzare la governance con PowerShell, tieni presente che alcune risorse meno recenti potrebbero non essere più disponibili. Tieniti sempre aggiornato sulle ultime opzioni di automazione e riferimenti API, perché Microsoft continua a migliorare il supporto.

Configurare i log di audit PIM, gli avvisi e i report di conformità

Attiva i log di audit PIM: abilita la registrazione di tutte le attività PIM tramite il portale di Azure o gli strumenti di sicurezza collegati, per tenere traccia in tempo reale di richieste, attivazioni, approvazioni, rifiuti e modifiche.
Configura avvisi in tempo reale: imposta avvisi in Azure Monitor o Microsoft Sentinel per eventi sospetti, come attivazioni atipiche, approvazioni non riuscite o elevazioni di privilegi al di fuori dell'orario di lavoro.
Automatizza la generazione dei report: usa i report integrati oppure integra strumenti come Log Analytics e Microsoft Purview Audit per generare report pronti per la conformità a SOX, HIPAA e altri requisiti normativi. Consulta la guida pratica su Purview Audit per le best practice.

Ascolta anche

Se stai approfondendo la configurazione di Microsoft Entra PIM, questi episodi offrono un contesto pratico su sicurezza delle identità, governance, accesso privilegiato e implementazione:

Microsoft Defender XDR – Simply Explained — Collega la governance delle identità ai segnali di sicurezza, all'analisi e alla risposta.
Conditional Access – Simply Explained — Scopri come i controlli di accesso basati su criteri applicano le decisioni sull'identità.
Privileged Identity Management – Simply Explained — Capisci come funzionano i privilegi just-in-time, le approvazioni e le revisioni degli accessi.
Microsoft Teams Governance – The Illusion of Control — Scopri come la governance trasforma le autorizzazioni e la proprietà in operazioni ripetibili.

Checklist per la configurazione di Microsoft Entra PIM

Definisci un responsabile chiaro e lo scopo di business.
Inizia con un pilota piccolo e rappresentativo.
Testa l'intero percorso di utenti e supporto.
Documenta eccezioni, date di revisione e percorsi di escalation.

Usa Microsoft Learn per la guida aggiornata alla configurazione.

Domande frequenti

Perché l'opzione prevista non è disponibile?

Prima di modificare le impostazioni, verifica l'account con cui hai effettuato l'accesso, la licenza, il client, il criterio e i limiti delle autorizzazioni.

🎧 Ascolta anche

Questi episodi offrono i prossimi passi pratici per approfondire l'argomento.

Ultima revisione: luglio 2026. Le esperienze di Microsoft 365 e i controlli dei criteri cambiano frequentemente.