Demistificare il tenant di Microsoft 365: architettura, identità e confini

By Mirko Peters · 2026-08-27

Bentornato nel podcast! Se hai mai ascoltato le nostre puntate su architettura cloud, sicurezza o amministrazione aziendale, sai che ci piace andare a fondo…

Automatically translated with AI from the original post. Read the English original

Bentornati al podcast! Se avete ascoltato i nostri episodi su architettura cloud, sicurezza o amministrazione aziendale, sapete che ci piace approfondire il funzionamento interno della tecnologia che usiamo ogni giorno. Oggi analizziamo più da vicino uno dei concetti più fondamentali e allo stesso tempo spesso fraintesi dell'ecosistema cloud aziendale: il tenant di Microsoft 365. Che tu sia un amministratore IT che passa la giornata nell'interfaccia di amministrazione, un professionista della sicurezza che progetta criteri di accesso o un responsabile aziendale che si chiede come vengono isolati i dati della tua azienda nel cloud, capire il tenant è fondamentale. In questo post di approfondimento al nostro ultimo episodio del podcast, entriamo nel merito dei pilastri portanti del cloud Microsoft: vediamo cos'è davvero un tenant di M365, come funzionano le identità al suo interno, in che modo le sottoscrizioni determinano le licenze e perché i confini amministrativi sono la tua migliore difesa contro la fuga di dati e le violazioni di sicurezza.

Introduzione al tenant di Microsoft 365

Per capire davvero il cloud Microsoft dobbiamo partire dall'inizio: il tenant. Ma che cos'è davvero un tenant di Microsoft 365? In sostanza, un tenant è l'istanza dedicata dei servizi cloud Microsoft della tua organizzazione. Immaginalo come una porzione sicura e isolata dell'enorme infrastruttura di data center globale di Microsoft. Quando la tua azienda si iscrive a Microsoft 365, Azure o Dynamics 365, Microsoft predispone un contenitore dedicato per te. Questo contenitore ospita i tuoi dati, le identità degli utenti, le configurazioni dei servizi e i criteri di sicurezza. È completamente separato da ogni altro cliente che opera nel cloud Microsoft, garantendo un isolamento multi-tenant conforme a rigorosi standard di conformità.

Tuttavia, molti usano erroneamente i termini "tenant", "dominio" e "sottoscrizione" come se fossero intercambiabili. Chiariamo subito. Un tenant è il contenitore complessivo. Un dominio è semplicemente lo spazio dei nomi, come contoso.com, che usi per gli indirizzi email e per l'accesso degli utenti. Una sottoscrizione è l'accordo commerciale con cui paghi licenze e servizi. Puoi avere più domini e più sottoscrizioni associati a un unico tenant, ma il tenant resta il confine fondamentale che tiene insieme tutto. Per visualizzarlo, pensa a una casa: il tenant è la struttura fisica e il terreno su cui sorge, i domini sono l'indirizzo sulla cassetta della posta e le sottoscrizioni sono le bollette delle utenze che paghi per tenere accesi luce e acqua.

Il ruolo di Microsoft Entra ID e della gestione delle identità

Non si può parlare di tenant di Microsoft 365 senza parlare di identità e, nello specifico, di Microsoft Entra ID, precedentemente noto come Azure Active Directory. Se il tenant è la casa, Microsoft Entra ID è il sistema di sicurezza, la serratura della porta d'ingresso e l'elenco di tutti coloro che possono entrare. Ogni tenant di Microsoft 365 include una directory predefinita di Microsoft Entra ID. Questa directory è la fonte autorevole per tutti gli account utente, i gruppi, le entità servizio e le registrazioni delle applicazioni.

L'identità è il nuovo perimetro di sicurezza nell'architettura cloud moderna. Ai vecchi tempi dell'IT on-premises proteggevamo la rete aziendale installando un firewall e fidandoci di tutto ciò che si trovava all'interno di quella rete. Nel cloud il perimetro di rete non esiste più: i tuoi utenti lavorano da bar, uffici domestici e dispositivi mobili sparsi in tutto il mondo. Per questo l'identità ha preso il posto del firewall. Quando un utente tenta di accedere a Exchange Online, SharePoint o Microsoft Teams, Microsoft Entra ID è il servizio che verifica chi è, controlla quali dispositivi sta usando e stabilisce se concedere l'accesso in base ai criteri di accesso condizionale.

Gestire le identità in modo efficace all'interno del tuo tenant richiede una strategia chiara. La maggior parte delle organizzazioni utilizza un modello di identità ibrido, sincronizzando i propri Active Directory Domain Services locali con Microsoft Entra ID tramite uno strumento chiamato Microsoft Entra Connect o Microsoft Entra Cloud Sync. In questo modo gli utenti mantengono un unico set di credenziali sia per le risorse della rete locale sia per i servizi cloud di Microsoft 365. Tuttavia, che le identità siano solo cloud oppure sincronizzate da un ambiente locale, gestirne il ciclo di vita (provisioning, assegnazione dei ruoli, gestione delle credenziali e de-provisioning) è una delle responsabilità più critiche di un amministratore di Microsoft 365.

Gestire abbonamenti, licenze e fatturazione

Una volta definiti tenant e identità, bisogna capire come si pagano i servizi utilizzati. Entriamo quindi nel mondo degli abbonamenti e delle licenze. Nell'ecosistema di Microsoft 365, un abbonamento è un accordo commerciale che concede all'organizzazione l'accesso a un determinato set di servizi cloud per un periodo specificato, di norma con un modello di prezzo per utente al mese.

È importante capire che gli abbonamenti sono legati al tenant. Non puoi acquistare un abbonamento a Microsoft 365 Business Premium o Enterprise E5 e assegnarlo a un utente di un tenant completamente diverso. Tutte le licenze devono essere acquistate e assegnate entro i confini amministrativi di quel tenant specifico. Inoltre, le organizzazioni spesso gestiscono più abbonamenti all'interno di un singolo tenant. Ad esempio, potresti avere un abbonamento per le licenze Microsoft 365 E5, un altro per i servizi Azure a consumo e un terzo per prodotti aggiuntivi specializzati come Power BI Premium o Microsoft Copilot.

La gestione delle licenze può diventare rapidamente un grattacapo amministrativo se non viene gestita in modo proattivo. Gli amministratori devono assegnare le licenze a utenti o gruppi, assicurandosi che ogni utente abbia accesso esattamente agli strumenti di cui ha bisogno, che si tratti di Exchange per la posta elettronica, SharePoint per la collaborazione sui documenti o l'intera suite di applicazioni desktop. La gestione automatica delle licenze, spesso basata sull'assegnazione di licenze tramite gruppi in Microsoft Entra ID, è una best practice per le organizzazioni in crescita. Quando un nuovo utente viene aggiunto al gruppo "Sales", il sistema esegue automaticamente il provisioning delle licenze appropriate; quando poi lascia l'organizzazione ed esce dal gruppo, tali licenze vengono recuperate e rese disponibili per altri utenti.

Configurare domini personalizzati e DNS

Quando crei per la prima volta un tenant di Microsoft 365, Microsoft ti assegna un nome di dominio predefinito che termina con onmicrosoft.com, ad esempio contoso.onmicrosoft.com. Sebbene questo dominio sia pienamente funzionante, non vorrai certo che le email aziendali partano come utente@contoso.onmicrosoft.com. Per costruire una presenza di brand professionale e garantire un flusso di posta e un'integrazione dei servizi senza interruzioni, devi configurare domini personalizzati nel tuo tenant.

Configurare un dominio personalizzato significa dimostrare a Microsoft di essere effettivamente proprietario del nome di dominio che vuoi utilizzare. Ciò avviene aggiungendo record TXT o MX specifici presso il tuo provider di hosting DNS, come GoDaddy, Cloudflare o Route 53. Una volta che Microsoft ha verificato la proprietà del tuo dominio, ad esempio contoso.com, puoi renderlo il dominio principale, aggiornare i nomi utente (UPN) in modo che gli utenti accedano con i loro indirizzi email aziendali, e configurare i record DNS necessari per la consegna della posta (record MX), la individuazione automatica (record CNAME) e i protocolli di sicurezza come SPF, DKIM e DMARC.

Una configurazione DNS corretta non serve solo a fare una buona figura: è un requisito di sicurezza fondamentale. Senza record SPF, DKIM e DMARC configurati correttamente e associati al tuo dominio personalizzato nel tenant di Microsoft 365, malintenzionati possono facilmente falsificare il dominio delle tue email, dando il via ad attacchi di phishing rivolti ai tuoi clienti e partner. Dedicare il tempo necessario a configurare e verificare correttamente le impostazioni DNS è una tappa essenziale di qualsiasi progetto di implementazione di Microsoft 365.

Servizi cloud principali e provisioning delle risorse

Con il tenant, il sistema di identità, gli abbonamenti e i domini personalizzati già configurati, il tuo ambiente Microsoft 365 è finalmente pronto a ospitare i carichi di lavoro. Un tenant di Microsoft 365 non è un monolite: è un ricco ecosistema di applicazioni software-as-a-service (SaaS) integrate, progettate per favorire produttività, collaborazione e comunicazione. Capire come questi servizi cloud fondamentali vengono sottoposti a provisioning e interagiscono all'interno del perimetro del tenant è essenziale per qualsiasi amministratore.

Exchange Online offre posta elettronica, calendari e gestione dei contatti di livello enterprise. SharePoint Online è la spina dorsale per l'archiviazione dei documenti, i siti intranet e la gestione dei contenuti aziendali. Microsoft Teams porta chat, riunioni, chiamate e collaborazione in un unico hub che si integra in profondità con SharePoint, Exchange e diverse app di terze parti. Accanto a questi pesi massimi ci sono servizi come OneDrive for Business, Planner, Stream e Power Platform (Power Apps, Power Automate e Power BI).

Quando gli utenti creano un team in Microsoft Teams, dietro le quinte il tenant esegue automaticamente il provisioning di una complessa rete di risorse interconnesse: un insieme di siti SharePoint per l'archiviazione dei file, un gruppo di Microsoft 365 per la gestione dei membri, una casella di posta e un calendario condivisi in Exchange e un blocco note di OneNote. Questo motore di provisioning automatizzato mostra la potenza dell'architettura di M365. Tuttavia, evidenzia anche l'importanza della governance. Senza criteri di governance proattivi, come limitare chi può creare gruppi di Microsoft 365 o configurare criteri di scadenza automatica per i team inattivi, il tuo tenant può degenerare rapidamente in una caotica proliferazione di risorse inutilizzate e dati ridondanti.

Confini amministrativi e best practice di sicurezza

Mentre concludiamo il nostro approfondimento sul tenant di Microsoft 365, dobbiamo affrontare l'argomento più critico di tutti: i confini amministrativi e le best practice di sicurezza. Il tenant è il tuo principale confine di sicurezza. I dati al suo interno sono cifrati sia a riposo sia in transito e, per impostazione predefinita, sono completamente inaccessibili a chiunque al di fuori della tua organizzazione, compresi altri clienti Microsoft e perfino il personale del supporto Microsoft (a meno che non venga concesso esplicitamente un accesso temporaneo tramite Customer Lockbox).

Tuttavia, la sicurezza non si ferma al perimetro del tenant: devi anche gestire le autorizzazioni *all'interno* del tenant. Qui entra in gioco il principio del privilegio minimo. Microsoft Entra ID offre un'ampia gamma di ruoli amministrativi predefiniti, come Amministratore globale, Amministratore Exchange, Amministratore helpdesk e Amministratore utenti. Uno degli errori più comuni delle organizzazioni è assegnare il ruolo di Amministratore globale, che ha pieno accesso a ogni impostazione e a ogni dato del tenant, a troppe persone. Le best practice indicano di limitare il numero di Amministratori globali al minimo indispensabile (in genere da due a quattro persone, per ridondanza) e di assegnare ruoli più granulari e specifici per le attività quotidiane.

Inoltre, proteggere gli account amministrativi con l'autenticazione a più fattori (MFA) non è negoziabile. Implementare un'MFA resistente al phishing, come le chiavi di sicurezza FIDO2 o la corrispondenza dei numeri di Microsoft Authenticator, è la singola misura più efficace per impedire accessi non autorizzati al tenant. Abbinala a criteri di accesso condizionale solidi che valutano il livello di rischio, la conformità del dispositivo e la posizione prima di concedere l'accesso, e otterrai una postura di difesa in profondità davvero formidabile.

Infine, governance e monitoraggio non dovrebbero mai essere un ripensamento. Utilizzare strumenti come Microsoft Purview per la conformità, la prevenzione della perdita di dati (DLP) e la protezione delle informazioni garantisce che i dati sensibili siano etichettati, tracciati e protetti durante tutto il loro ciclo di vita. Verificare periodicamente le assegnazioni dei ruoli amministrativi, esaminare i log di accesso e monitorare gli avvisi nel portale di Microsoft Defender ti aiuterà a mantenere il tenant sicuro, conforme e ottimizzato per le esigenze del tuo business.

Grazie per aver seguito questo articolo del blog, che accompagna il nostro podcast! Speriamo che questo approfondimento su architettura dei tenant di Microsoft 365, gestione delle identità, abbonamenti, domini personalizzati e confini di sicurezza ti abbia dato un quadro più chiaro di come funziona il cloud sotto il cofano. Se ti è piaciuto il post, iscriviti al podcast, condividi questo articolo con il tuo team IT e unisciti a noi la prossima settimana, quando affronteremo un altro argomento interessante nel mondo della tecnologia enterprise. Nel frattempo, continua a proteggere i tuoi tenant e a rendere resilienti le tue architetture cloud!