Accesso condizionale per gli utenti ospiti in Microsoft Entra

By Mirko Peters · 2026-04-26 · Updated 2026-07-28

Proteggi gli utenti esterni con l'accesso condizionale per gli ospiti in Microsoft Entra ID, usando controlli basati su identità, dispositivo, posizione e rischio, oltre alle esclusioni.

Automatically translated with AI from the original post. Read the English original

Risposta rapida: per proteggere gli utenti esterni, crea un accesso condizionale per gli ospiti in Microsoft Entra ID, applica il criterio agli account di ospiti e utenti esterni, richiedi l'autenticazione e i controlli sui dispositivi appropriati ed escludi gli account di accesso di emergenza. Inizia in modalità solo report, verifica i percorsi di collaborazione reali e poi implementa gradualmente, con un percorso di supporto documentato.

L'accesso condizionale è in prima linea nella protezione delle porte digitali della tua organizzazione, soprattutto quando si tratta di ospiti e utenti esterni in Microsoft Entra ID (in precedenza Azure AD). Con la diffusione del lavoro ibrido e della collaborazione cloud-first, far entrare persone esterne è ormai la normalità. Eppure, una condivisione fatta in buona fede può facilmente trasformarsi in un grave rischio per la sicurezza se l'accesso degli ospiti non viene controllato. Questa guida fa chiarezza, offrendo a professionisti IT e della sicurezza le conoscenze necessarie per bloccare l'accesso degli ospiti, senza creare grattacapi agli utenti finali o ai partner commerciali.

Vedremo come usare l'accesso condizionale per mantenere sicuri Microsoft 365, Teams, SharePoint e le app collegate, consentendo comunque agli ospiti di collaborare. Troverai passaggi chiari e pratici per configurare i criteri, gestire i casi limite più complessi e monitorare gli accessi in sicurezza. Che tu gestisca gli accessi ogni giorno o voglia semplicemente verificare la configurazione attuale, troverai le strategie per bilanciare sicurezza solida e lavoro senza attriti, indipendentemente da chi bussa alle tue porte digitali.

Introduzione all'accesso condizionale e alla collaborazione con gli ospiti

L'accesso condizionale in Microsoft Entra ID è il guardiano di come e quando gli utenti, in particolare gli ospiti, accedono alle risorse cloud. Quando si parla di "utente ospite", si pensa a chiunque venga invitato dall'esterno dell'organizzazione per lavorare in Teams, SharePoint o in piattaforme simili di Microsoft 365. Sono detti "ospiti B2B", e il loro accesso va protetto, non semplicemente considerato affidabile.

La collaborazione con gli ospiti è ovunque: partner esterni che partecipano a riunioni di Teams, fornitori che accedono a documenti condivisi o utenti temporanei che lavorano a un progetto. A differenza dei dipendenti, gli ospiti non sono gestiti nel sistema delle risorse umane, quindi i loro account possono restare attivi a lungo, e questo crea dei rischi. Per questo le regole di accesso condizionale per gli ospiti devono trovare un equilibrio diverso: abbastanza aperte per il business, abbastanza rigide per tenere lontani i problemi. Se vuoi approfondire i pericoli nascosti degli ospiti rimasti attivi e come governarli, leggi questa panoramica sui rischi degli account ospite di Microsoft 365 e sulle strategie di gestione del ciclo di vita.

Panoramica dei modelli di sicurezza per l'accesso degli ospiti

La sicurezza tradizionale si basava sulla protezione della rete aziendale: se eri dentro, eri affidabile; se eri fuori, no. Ma gli ospiti e l'accesso da remoto hanno abbattuto i vecchi confini. La sicurezza moderna ruota attorno all'identità: sapere esattamente chi è un utente ogni volta che tenta di accedere e chiedergli di dimostrarlo, se necessario.

Questo modello incentrato sull'identità rende i criteri molto più granulari. Entra in gioco lo "Zero Trust", un modello che non presume mai la fiducia e verifica sempre, a ogni passaggio. Invece di un accesso interno ampio, oggi puoi usare l'accesso condizionale, il punteggio di rischio e le autorizzazioni just-in-time per mantenere l'accesso degli ospiti ridotto al minimo e sotto controllo. Puoi approfondire questo cambiamento in questo articolo introduttivo su Zero Trust by Design per Microsoft 365 e Dynamics 365. Passare a questi nuovi modelli porta una sicurezza più flessibile, ma anche nuova complessità e la sfida di mantenere le regole aggiornate, soprattutto quando cambiano app e ruoli utente.

Configurazione dei criteri di accesso condizionale per gli ospiti in Entra ID

Quando è il momento di configurare l'accesso condizionale per gli ospiti, Entra ID offre gli strumenti per personalizzare i criteri specificamente per gli utenti esterni e B2B. Le basi partono sempre dall'identificare chi è davvero "ospite": a volte si limita l'ambito direttamente agli account ospite, altre volte tramite raggruppamenti o tag intelligenti, a seconda di come gestisci la directory. Sbagliare questa fase può significare bloccare collaborazioni necessarie oppure lasciare aperta la porta digitale sul retro.

Il trucco sta nel scegliere gli utenti giusti e collegare le app che contano: Teams, SharePoint, Power Platform o persino carichi di lavoro sensibili come Power BI. L'integrazione non è uguale per tutti: alcune app potrebbero richiedere criteri meno rigidi, mentre altre vanno bloccate con più decisione. Definire l'ambito per app ti permette di calibrare con precisione dove possono andare gli ospiti e cosa possono fare una volta arrivati.

Un'altra sfida è assicurarsi che i nuovi criteri non interrompano i processi aziendali né peggiorino l'esperienza utente. Criteri troppo restrittivi possono ritorcersi contro, soprattutto per le integrazioni con terze parti o per i flussi di lavoro critici che coinvolgono gli ospiti. Per questo è fondamentale monitorare e aggiustare il tiro man mano: così si evita quello che viene chiamato «debito di identità», cioè la proliferazione di regole incoerenti, un problema approfondito in questa guida alla gestione della sicurezza e dell'igiene dei criteri di Entra ID. Per strategie di implementazione pratiche, baseline e monitoraggio fin dal primo giorno, consulta questa panoramica sui problemi di fiducia nei criteri di Accesso condizionale. La sottosezione successiva approfondisce l'uso dei modelli, così puoi risparmiare tempo, evitare errori e implementare fin dall'inizio criteri in linea con le esigenze aziendali.

Distribuzione dei modelli per una configurazione efficiente dei criteri per gli ospiti

• Inizia con i modelli integrati: Microsoft Entra ID offre modelli predefiniti di Accesso condizionale per scenari comuni, come la collaborazione con gli ospiti o l'applicazione di MFA. Ti aiutano a partire rapidamente con impostazioni predefinite sicure e collaudate.
• Personalizza in base alle esigenze: Adatta i modelli predefiniti alle app specifiche (ad esempio limitando l'accesso al solo SharePoint) o ai requisiti di riservatezza. I modelli non sono una soluzione valida per tutti: modifica le condizioni in base agli scenari di collaborazione con gli ospiti.
• Standardizza e scala: Distribuire modelli significa implementare criteri coerenti in tutto il tenant. Rispetto alle regole create una alla volta, è molto più semplice risolvere i problemi, eseguire audit e restare allineati agli obiettivi di governance.
• Consiglio pratico: clona e adatta: Usa i modelli come base per creare rapidamente varianti per reparti, siti o gruppi di app diversi. Così la proliferazione dei criteri resta sotto controllo e il sistema segue l'evoluzione delle esigenze aziendali.

Esclusione di ospiti e utenti esterni dai criteri per garantire la funzionalità

Anche i piani di Accesso condizionale meglio costruiti richiedono eccezioni. A volte gli ospiti non riescono a soddisfare tutti i requisiti di sicurezza, soprattutto negli scenari che coinvolgono sistemi automatizzati, app di terze parti o integrazioni che non supportano determinati passaggi di autenticazione, come MFA. Se i criteri sono troppo rigidi, potresti bloccare partner importanti o interrompere i flussi di lavoro aziendali proprio quando meno te lo aspetti.

È qui che entrano in gioco le esclusioni dei criteri. Consentono di definire eccezioni per utenti, applicazioni o scenari di sistema specifici in cui alcune funzioni devono «funzionare e basta», anche se non soddisfano tutti i normali requisiti di accesso. La chiave sta nel capire quando fare un'eccezione e come limitarne l'ambito, per non aprire falle di sicurezza inutili.

Trovare il giusto equilibrio è importante. Le regole di esclusione sono essenziali per attività come la condivisione esterna automatizzata o l'accesso fluido di terze parti, ma troppe esclusioni, o esclusioni monitorate male, possono metterti in difficoltà. Se cerchi consigli pratici per collegare le esclusioni a una buona gestione del ciclo di vita degli ospiti e ridurre la «proliferazione di ospiti», dai un'occhiata a questa discussione sulla gestione dei rischi legati agli ospiti di Microsoft 365. La sezione successiva illustrerà i tipici scenari di esclusione, tra cui l'interoperabilità con Microsoft Teams e SharePoint e la gestione delle app legacy che richiedono un approccio più morbido.

Esclusioni funzionali in scenari di sistema e di app

• Partecipazione a riunioni Teams: Escludi gli ospiti dai criteri di Accesso condizionale che richiedono dispositivi conformi o MFA, se si limitano a partecipare a una riunione Teams tramite un invito esterno. Così si evitano blocchi accidentali e interruzioni della riunione.
• Condivisione esterna in SharePoint: Per la collaborazione sui documenti, escludi determinati flussi o ID applicazione dai criteri se altrimenti bloccherebbero la condivisione automatizzata o causerebbero errori di integrazione. Verifica con account di test prima di distribuire la modifica su larga scala.
• App SSO di terze parti e di automazione: alcune app usate per il Single Sign-On (SSO) o per le integrazioni di processo non riescono a completare l'autenticazione interattiva o le richieste di MFA. Queste app vanno escluse dai criteri di applicazione rigorosa, così le automazioni critiche continuano a funzionare.
• Verifica l'esposizione: prima di finalizzare qualsiasi esclusione, controlla con attenzione l'ambito delle autorizzazioni e i log di controllo, per assicurarti di non aprire accessi troppo ampi. Le revisioni di governance sono indispensabili: scopri i rischi della falsa sicurezza in questa analisi della governance di Teams e in questo confronto tra SharePoint e Dataverse per l'accesso controllato.

Proteggere l'accesso condizionale per gli ospiti con i controlli di autenticazione

Decidere chi può entrare è solo metà della battaglia: essenziale è anche far dimostrare che si è chi si dice di essere. Con gli utenti ospiti, applicare controlli di autenticazione solidi aiuta a bloccare gli accessi non autorizzati e impedisce che i dati sensibili escano dalla porta di servizio. L'autenticazione a più fattori (MFA) e i criteri di accesso basati sul rischio sono i modi più affidabili per fermare gli attaccanti, anche quando riescono a impossessarsi delle credenziali di un ospite.

Puoi definire criteri che richiedano a ogni ospite di completare l'MFA prima di accedere ad app critiche come Teams, SharePoint o Power BI. Ancora meglio, puoi imporre questi requisiti solo per le app più rischiose, oppure quando un ospite accede da un nuovo dispositivo o da una posizione sospetta. In questo modo aumenti la sicurezza solo quando serve ed eviti inutili complicazioni agli utenti fidati. L'accesso condizionale moderno può persino attivarsi in base al punteggio di rischio dell'utente, sottoponendo a verifica solo gli utenti segnalati come rischiosi in base al comportamento o a incidenti precedenti.

Tutti questi controlli devono funzionare bene con l'esperienza utente. La configurazione deve essere abbastanza precisa da tenere fuori gli estranei, ma non così rigida da respingere gli ospiti legittimi e far esplodere il servizio di supporto. Per suggerimenti su come trovare questo equilibrio senza infastidire gli utenti o interrompere i flussi di lavoro, leggi questa guida alla sicurezza di Microsoft 365 e all'esperienza utente. La sezione successiva spiega come monitorare e analizzare gli accessi degli ospiti tramite l'app My Sign-Ins e altri strumenti.

Usare l'app My Sign-Ins per monitorare gli utenti ospiti

• Controlla l'attività di accesso: sia gli amministratori sia gli utenti finali possono usare l'app «My Sign-Ins» per consultare la cronologia dettagliata dei tentativi di accesso, inclusi posizione, dispositivo e tipo di autenticazione. È particolarmente utile per individuare schemi di accesso anomali degli ospiti.
• Individua e segnala le attività sospette: se qualcosa non torna, come un utente ospite che accede da un Paese insolito, gli amministratori o gli stessi ospiti possono contrassegnare o segnalare l'evento direttamente dall'app, avviando una risposta più rapida.
• Abilita la risoluzione in autonomia: indirizza gli ospiti al portale My Sign-Ins quando hanno difficoltà di accesso o sospettano che le proprie credenziali siano state compromesse. Questo riduce i colli di bottiglia per l'IT e mantiene i flussi di lavoro in movimento.
• Per analisi approfondite e audit: per indagini avanzate e conformità, usa Microsoft Purview Audit come descritto in questa guida all'audit delle attività per tracciare le azioni degli utenti tra più servizi e individuare potenziali rischi.

Capire l'esperienza dell'utente ospite con l'accesso condizionale

Quando un utente ospite accede in base all'accesso condizionale, il percorso può essere fluido, a meno che la configurazione dei criteri non lo metta in difficoltà. Immagina la scena: un fornitore riceve un invito a Teams, clicca sul link e si trova davanti a una richiesta di MFA. Se non ha mai usato la configurazione della tua azienda, può confondersi in fretta: magari deve registrare un'app di autenticazione, scansionare un codice QR o verificare tramite messaggio di testo.

Le schermate tipiche includono portali di accesso con il branding aziendale, richieste chiare di un secondo fattore di autenticazione e messaggi che guidano l'utente passo passo in un linguaggio semplice. Se l'accesso viene negato, gli ospiti di solito vedono motivazioni dettagliate, come «Non soddisfi i requisiti di sicurezza dell'organizzazione» o «È necessaria la conformità del dispositivo», invece di un gergo tecnico incomprensibile. Ma se i messaggi di errore non sono personalizzati o non sono chiari, le richieste di supporto all'help desk arrivano in fretta.

Gli amministratori devono prevedere dove possono nascere confusione o attriti. Quando blocchi l'accesso (ad esempio perché il dispositivo non soddisfa i requisiti o perché si tenta di usare un'app con controlli più severi), è importante che i messaggi spiegino cosa manca e quali sono i passi successivi. Se gli ospiti sono abituati ad altri ambienti, potrebbero trovare i controlli di sicurezza di Microsoft nuovi o opprimenti, quindi anticipali con documentazione o guide di onboarding.

Strumenti come l'app My Sign-Ins permettono agli ospiti di vedere la propria cronologia e di individuare subito eventuali problemi. Anche le comunicazioni proattive aiutano: una semplice email con «ecco cosa aspettarsi» riduce molto i problemi di accesso ricorrenti. Mappare questa esperienza significa mantenere gli ospiti produttivi e ridurre le noie di supporto di routine.

Prossimi passi, monitoraggio e feedback dopo il deployment dei criteri per gli ospiti

Attivare Conditional Access per gli ospiti non è la fine del lavoro, ma l'inizio della parte concreta. Dopo il rollout, devi tenere sotto controllo sia l'esperienza degli utenti sia l'efficacia della sicurezza. Inizia controllando i log di accesso e i pattern di utilizzo. Iソ ospiti legittimi riescono a entrare senza troppi intoppi? I tentativi di accesso rischiosi vengono bloccati come previsto?

Raccogli il feedback sia dai team di business sia dai partner esterni. Le lamentele degli utenti o i ripetuti errori di accesso possono indicare che un criterio va rivisto. Usa gli strumenti integrati di Entra ID e Microsoft 365 per monitorare gli accessi riusciti e quelli falliti, e confrontali con l'ambito dei criteri. Non dimenticare di verificare la presenza di conflitti tra criteri o sovrapposizioni impreviste di regole, che possono bloccare l'accesso senza avvisi chiari. Per strategie di monitoraggio e per costruire fiducia nei criteri di Conditional Access, consulta questa risorsa sui problemi di fiducia nei criteri.

L'audit continuo non è una semplice casella da spuntare per la compliance: è il modo per individuare rischi che si accumulano a causa di account ospite obsoleti o con privilegi eccessivi. Audit regolari, realizzati con soluzioni come Microsoft Purview Audit descritta in questa guida su audit e compliance, aiutano a verificare che le esclusioni siano ancora valide e che i controlli non si siano spostati fuori posto.

Infine, Conditional Access è un sistema vivo. Con l'evoluzione delle minacce e la crescita delle esigenze di collaborazione, dovrai rivedere e affinare i criteri nel tempo. Coinvolgi gli stakeholder di business e la leadership IT per revisioni trimestrali. Questo mantiene tutti allineati e garantisce che l'accesso degli ospiti resti produttivo e protetto, qualunque sia la velocità del cambiamento.

Riepilogo delle best practice e risorse per la sicurezza degli ospiti con Conditional Access

Gestire l'accesso degli ospiti in Microsoft Entra ID non è un lavoro da «impostare e dimenticare». Parti da criteri di Conditional Access solidi e ben delimitati, supportati dalla gestione del ciclo di vita: non lasciare che si accumulino vecchi account ospite che creano falle di sicurezza. Usa dei modelli per standardizzare i deployment e verifica sempre le esclusioni dei criteri, soprattutto quando lavori con le integrazioni di Teams, SharePoint o Power Platform.

Controlla regolarmente i log di accesso, lo stato del ciclo di vita degli ospiti e i report di audit. Inserisci le revisioni dei criteri nel ritmo operativo dell'IT: almeno ogni trimestre. Indicazioni chiare e semplici per gli ospiti riducono confusione e chiamate di supporto. E non sottovalutare la necessità di una governance continua: come spiegato in questo approfondimento sulla gestione del ciclo di vita di Conditional Access, aggiornamenti disciplinati dei criteri e la responsabilità chiara dei proprietari sono fondamentali per evitare il «debito di identità».

Per la risoluzione dei problemi, il controllo avanzato e una tabella di marcia verso una condivisione esterna davvero blindata, dai un'occhiata a risorse come questa guida pratica ai controlli di Purview e questo schema per individuare le attività di condivisione esterna rischiose in SharePoint e OneDrive. Ti servono indicazioni sul ciclo di vita degli ospiti? Questa guida sui pericoli degli ospiti non gestiti illustra scadenza, revisione e disattivazione con passaggi pratici.

Non esitare a consultare la documentazione ufficiale Microsoft quando crei o modifichi i criteri. E mantieni sempre un dialogo aperto con gli stakeholder di business: l'accesso condizionale è efficace solo se è allineato al modo in cui i tuoi team lavorano davvero. Una buona governance, un monitoraggio costante e la disponibilità ad adattarsi sono i tuoi migliori alleati per mantenere la collaborazione con gli ospiti potente e protetta.

Ascolta anche

Se stai esplorando l'accesso condizionale per gli ospiti, questi episodi offrono un contesto pratico su sicurezza delle identità, governance e affidabilità delle operazioni di Microsoft 365.

• Conditional Access – Simply Explained — Scopri come i segnali di identità, dispositivo, posizione e rischio determinano le decisioni di accesso.
• Privileged Identity Management – Simply Explained — Scopri come i privilegi just-in-time e i flussi di approvazione riducono l'esposizione amministrativa.
• Microsoft Defender XDR – Simply Explained — Collega i segnali di identità al rilevamento, all'indagine e alla risposta agli incidenti.
• Microsoft Teams Governance – Simply Explained — Scopri come una proprietà chiara e regole di ciclo di vita rendono sostenibile una collaborazione sicura.

Questi episodi aiutano a tradurre i passaggi tecnici in una strategia più ampia di identità e governance.

Schema di rollout sicuro per l'accesso condizionale per gli ospiti

1. Definisci quali scenari con ospiti richiedono accesso: collaborazione in Teams, condivisione in SharePoint o applicazioni specifiche.
2. Crea un gruppo oppure usa l'assegnazione «guest and external users» in modo che l'ambito del criterio sia esplicito.
3. Attiva prima la modalità solo report e verifica i risultati degli accessi prima di applicare il criterio.
4. Testa un account ospite reale, includendo accettazione dell'invito, MFA, condizioni del dispositivo e l'applicazione prevista.
5. Documenta le esclusioni e mantieni gli account di accesso di emergenza al di fuori dell'applicazione normale del criterio.

Consulta le indicazioni di Microsoft Learn sull'accesso condizionale per i dettagli di configurazione aggiornati e le raccomandazioni sui criteri.

Domande frequenti

Ogni ospite deve usare l'MFA?

Per la maggior parte degli scenari di collaborazione aziendale, richiedere l'MFA è una base solida. Il controllo specifico deve comunque riflettere il rischio, le esigenze contrattuali e il livello di accesso dell'ospite.

Perché il criterio dovrebbe iniziare in modalità solo report?

La modalità solo report mostra gli impatti imprevisti prima che l'accesso venga bloccato, un aspetto particolarmente importante per partner, clienti e altri collaboratori esterni.

🎧 Ascolta anche

• Privileged Identity Management (PIM) – Simply Explained mostra come i privilegi just-in-time riducano l'esposizione amministrativa. Integra i controlli sugli ospiti occupandosi dei ruoli interni ad alto rischio.
• Identity Governance in Microsoft Entra collega l'accesso condizionale per gli ospiti con le revisioni degli accessi, la gestione del ciclo di vita e una proprietà responsabile.
• Microsoft Entra Private Access – Simply Explained aggiunge una prospettiva Zero Trust per l'accesso alle applicazioni private. È utile quando la collaborazione con gli ospiti va oltre Microsoft 365.

Ultima revisione: luglio 2026. I controlli di Accesso condizionale e le esperienze di Microsoft Entra possono cambiare frequentemente.