Audit delle autorizzazioni di SharePoint Online

By Mirko Peters · 2025-11-24 · Updated 2026-07-18

Crea una pipeline automatizzata per l'audit delle autorizzazioni di SharePoint Online con PnP PowerShell e Microsoft Graph, per individuare i rischi di accesso su larga scala.

Automatically translated with AI from the original post. Read the English original

Controllare a mano le autorizzazioni di SharePoint è una sfida complessa. I siti cambiano ogni giorno. Le persone entrano ed escono dai team. Ti serve un modo per tenere traccia di chi può accedere a cosa, senza lasciarti sfuggire rischi nascosti. L'audit automatizzato di SharePoint Online ti aiuta a trovare le lacune, a proteggere i dati e a risparmiare tempo. Con strumenti come PnP PowerShell, Microsoft Graph e Azure Automation puoi costruire un sistema che verifica le autorizzazioni al posto tuo.

Punti chiave

• L'audit automatizzato delle autorizzazioni di SharePoint Online fa risparmiare tempo. Riduce anche i rischi per la sicurezza. Ti permette di vedere chi può accedere a cosa. Non devi controllare tutto a mano.

• Usa PnP PowerShell e Microsoft Graph per individuare tutti i siti e tutte le autorizzazioni. In questo modo vedi ogni accesso presente nella tua azienda.

• Configura l'autenticazione solo app per la tua pipeline di audit. Così il sistema resta sicuro e continua a funzionare anche se cambiano gli account utente.

• Esegui gli audit con frequenza e imposta avvisi per le modifiche rischiose alle autorizzazioni. Così individui subito i problemi di sicurezza e puoi risolverli prima che peggiorino.

• Usa Power BI per mostrare i risultati dell'audit. Le dashboard ti aiutano a individuare le tendenze e a condividere i risultati con il team.

Perché le revisioni manuali delle autorizzazioni non funzionano

Le difficoltà dell'audit manuale

Controllare a mano le autorizzazioni di SharePoint è difficile. SharePoint Online prevede molti tipi di autorizzazioni. Ci sono i gruppi di Microsoft 365 e i gruppi di sicurezza di Entra. Alcune autorizzazioni valgono solo per SharePoint. I link di condivisione e l'accesso degli ospiti complicano ulteriormente il quadro. Devi tenere traccia di molti siti e librerie. Ogni sito può avere le proprie autorizzazioni. I controlli manuali non rilevano i rischi nascosti, perché le cose cambiano rapidamente.

• Le strutture delle autorizzazioni sono difficili da capire.

• I diversi tipi di gruppo generano confusione.

• I link di condivisione e gli utenti ospiti creano ulteriori problemi.

• I rischi per la sicurezza aumentano se non riesci a controllare tutto.

I rischi delle autorizzazioni non aggiornate

Le autorizzazioni obsolete possono causare problemi seri. Se non aggiorni gli accessi, le persone mantengono diritti che non dovrebbero avere. Questo può portare a fughe di dati e problemi di sicurezza. La tabella seguente elenca alcuni rischi comuni:

Gli audit automatizzati delle autorizzazioni di SharePoint Online ti aiutano a individuare questi rischi prima che causino danni.

Lacune di tracciabilità e conformità

Le revisioni manuali spesso non rilevano regole importanti. A volte "Tutti" o "Tutti tranne gli utenti esterni" possono vedere file riservati. La condivisione esterna e i link anonimi potrebbero non scadere mai. I siti e le librerie obsoleti possono contenere dati a rischio che nessuno controlla.

Suggerimento: gli audit periodici ti aiutano a individuare e risolvere questi problemi prima che peggiorino.

• Accesso eccessivo a dati riservati

• Nessun limite a condivisione e link anonimi

• Siti e librerie obsoleti con dati a rischio

Se non aggiorni le autorizzazioni con frequenza, rischi fughe di dati, mancato rispetto delle regole e minacce alla sicurezza. L'audit automatizzato di SharePoint Online ti aiuta a fermare questi problemi e a proteggere l'azienda.

Pipeline automatizzata per l'audit delle autorizzazioni di SharePoint Online

Panoramica dell'architettura della pipeline

Prima di costruire la pipeline serve un buon piano. La pipeline funziona come una macchina: prende il tuo tenant di SharePoint e genera un report che mostra chi può vedere cosa. Non devi controllare ogni sito personalmente, perché ci pensa la pipeline.

Ecco come funziona la pipeline:

1. Discovery: la pipeline individua ogni sito, libreria e file nel tenant di SharePoint Online.

2. Raccolta: recupera i dati sulle autorizzazioni da ciascuna risorsa.

3. Normalizzazione: la pipeline trasforma i dati complessi sulle autorizzazioni in una tabella semplice.

4. Reporting: salva i risultati in file CSV o JSON. Puoi usare questi file in Power BI o in altri strumenti.

5. Alerting: la pipeline cerca le modifiche e invia avvisi quando individua nuovi rischi.

Suggerimento: disegna su carta i passaggi della pipeline. Ti aiuta a visualizzare ogni parte e a individuare eventuali passaggi mancanti.

Puoi eseguire la pipeline ogni giorno. Ottieni nuovi dati e puoi individuare rapidamente i problemi. Il controllo automatizzato di SharePoint Online ti offre un processo affidabile e riutilizzabile.

Configurazione dell'autenticazione app-only

Vuoi che la pipeline funzioni senza che qualcuno debba accedere. L'autenticazione app-only ti permette di farlo. Crei una registrazione app in Entra ID (Azure AD). All'app vengono assegnate solo le autorizzazioni di cui ha bisogno. In questo modo il sistema resta sicuro.

Segui questi passaggi:

• Registra una nuova app in Entra ID.

• Assegna all'app solo le autorizzazioni necessarie. Ad esempio, usa Sites.Read.All e Group.Read.All.

• Crea un certificato per un accesso sicuro.

• Inserisci il certificato in Azure Key Vault.

Usi PnP PowerShell per connetterti a SharePoint Online con l'app. Il metodo app-only funziona bene per i controlli automatizzati di SharePoint Online. Non smette di funzionare se qualcuno lascia l'azienda o cambia la password.

Nota: non usare account amministrativi personali per l'automazione. L'accesso app-only è più sicuro e funziona meglio.

Integrazione di Azure Automation e Key Vault

Vuoi che la pipeline venga eseguita in base a una pianificazione. Azure Automation ti aiuta a farlo. Scrivi un runbook PowerShell. Il runbook si connette a SharePoint Online, recupera le autorizzazioni e salva i risultati.

Azure Automation può recuperare il certificato da Azure Key Vault. In questo modo i segreti restano al sicuro. Non devi inserire password o certificati negli script.

Ecco un flusso semplice:

• Azure Automation avvia il runbook.

• Il runbook recupera il certificato da Key Vault.

• Lo script si connette a SharePoint Online con l'autenticazione app-only.

• Recupera e salva i dati sulle autorizzazioni.

Puoi impostare il runbook per l'esecuzione giornaliera o settimanale. Puoi anche usare Hybrid Runbook Worker se ti servono più risorse o tempi di esecuzione più lunghi.

Nota importante: conserva sempre i segreti in Azure Key Vault. Così le tue credenziali restano protette e la pipeline è al sicuro.

Il controllo automatizzato delle autorizzazioni di SharePoint Online con Azure Automation e Key Vault ti offre un processo sicuro e che non richiede interventi manuali. Ottieni report regolari e puoi fidarti dei risultati.

Estrazione e normalizzazione dei dati sulle autorizzazioni

Individuazione di siti e risorse con PnP PowerShell

Prima di verificare le autorizzazioni, devi trovare tutti i siti e le risorse di SharePoint Online. PnP PowerShell ti offre gli strumenti per svolgere questo compito. Puoi usare l'enumerazione dei sottodomini per elencare tutti i siti SharePoint della tua azienda. Alcune tecniche di ricerca su Google possono aiutarti a trovare documenti pubblici. Alcuni amministratori usano l'API Graph per cercare link di condivisione anonimi. Puoi analizzare i metadati di SharePoint per capire come sono configurati i siti. Molti team scrivono i propri script PowerShell per automatizzare questo processo.

• L'enumerazione dei sottodomini ti permette di trovare siti difficili da individuare.

• Le tecniche di ricerca su Google ti aiutano a trovare documenti visibili a chiunque.

• Verificare la presenza di link di condivisione anonimi ti mostra i file aperti a chiunque.

• Analizzare i metadati ti indica come sono organizzati i siti.

• Gli script personalizzati ti aiutano a eseguire questi passaggi in modo rapido e ripetibile.

Suggerimento: automatizza i passaggi di individuazione così troverai sempre nuovi siti e risorse.

Autorizzazioni effettive tramite Microsoft Graph

Una volta trovati tutti i siti, devi verificare chi può accedere a ciascuno di essi. L'API Microsoft Graph ti aiuta a controllare le autorizzazioni per ogni risorsa. L'API cerca il livello di accesso più basso per ciascun utente o gruppo. La tua app può vedere solo ciò che l'utente con cui ha effettuato l'accesso è autorizzato a vedere. Per vedere tutto, devi assegnare alla tua app le autorizzazioni corrette, come Sites.Read.All. Per alcuni siti puoi usare Sites.Selected, ma serve l'approvazione del tuo amministratore SharePoint.

• L'API individua il livello di accesso più basso per ciascun utente.

• La tua app vede solo ciò che l'utente è in grado di vedere.

• Usa Sites.Read.All se vuoi vedere tutti i siti.

• Usa Sites.Selected per i siti particolari.

Nota: assegna sempre alla tua app il minimo indispensabile di autorizzazioni.

Limitazione delle richieste, paginazione e normalizzazione dei dati

Quando esegui il controllo di SharePoint Online otterrai una grande quantità di dati. Microsoft Graph invia i dati in piccole porzioni tramite paginazione. Devi seguire il nextLink per recuperare tutti i dati. Se chiedi troppo, Graph rallenterà le richieste: in quel caso attendi e riprova più tardi. Per semplificare i dati, trasforma i dettagli complessi sulle autorizzazioni in una tabella. Così crei report più facilmente e individui rapidamente i rischi.

Nota: Rendi i tuoi dati semplici, così puoi generare report e individuare rapidamente i rischi.

Automazione, reportistica e avvisi

Pianificazione e orchestrazione

Vuoi che il tuo audit delle autorizzazioni venga eseguito con una pianificazione regolare. Azure Automation ti aiuta a configurare processi che vengono eseguiti ogni giorno o ogni settimana. Crei un runbook PowerShell che si connette a SharePoint Online e raccoglie i dati sulle autorizzazioni. Puoi usare lo scheduler integrato per scegliere il momento migliore per il processo. Le ore non di punta funzionano bene, perché riducono il carico sul tuo tenant. Monitori ogni esecuzione tramite la cronologia dei processi e i log. Se un processo non riesce, controlli i messaggi di errore e risolvi il problema. Per processi più lunghi o che richiedono più risorse puoi anche usare Hybrid Runbook Worker.

Suggerimento: configura avvisi per i processi non riusciti, così saprai subito quando qualcosa va storto.

Avvisi basati sulle differenze e segnali di allerta precoce

Devi sapere quando le autorizzazioni cambiano in modo rischioso. L'audit automatizzato di SharePoint Online ti permette di confrontare il report di oggi con quello di ieri. Cerchi nuovi utenti guest, modifiche ai ruoli o nuovi link di condivisione. Se individui una modifica rilevante, invii un avviso. Puoi usare email, Teams o sistemi di ticketing come Jira. Gli avvisi precoci ti aiutano a fermare i problemi prima che crescano. Definisci le regole su cosa considerare una modifica rischiosa. Ad esempio, potresti voler sapere quando qualcuno ottiene l'accesso da Proprietario o quando compare un nuovo utente esterno.

• Confronta i report per individuare le modifiche

• Invia avvisi per gli aggiornamenti rischiosi

• Usa Teams, email o ticket per le notifiche

Power BI e reportistica sulla sicurezza

Vuoi vedere i risultati dell'audit in modo chiaro. Power BI ti aiuta a creare dashboard a partire dai file CSV o JSON. Crei grafici che mostrano gli utenti guest, gli account con privilegi elevati e i siti con più modifiche. Usi questi report nelle revisioni trimestrali. Puoi condividere le dashboard con il tuo team di sicurezza. Gli audit automatizzati di SharePoint Online ti forniscono dati sempre aggiornati per ogni report. Monitori le tendenze e individui tempestivamente i problemi.

Nota: usa Power BI per trasformare i dati grezzi in informazioni utili al tuo team.

Protezioni, implementazione e procedure consigliate

Considerazioni su sicurezza e conformità

Quando usi gli audit automatizzati delle autorizzazioni, devi proteggere SharePoint Online. Segui sempre il principio del privilegio minimo. Assegna alla tua app solo i ruoli di cui ha davvero bisogno. Usa gruppi di sicurezza invece di singoli account. Questo rende gli audit più semplici da gestire. Attiva l'autenticazione a più fattori (MFA) e configura l'accesso condizionale. Questi passaggi aiutano a impedire la pubblicazione da parte di chi non dovrebbe farlo e proteggono i tuoi dati. Documenta ogni ruolo assegnato. Tieni un registro delle autorizzazioni, così sai chi ha accesso. Verifica le autorizzazioni ogni tre mesi. Gli accessi possono cambiare nel tempo, quindi controlli regolari mantengono il sistema sicuro.

Suggerimento: usa gruppi di sicurezza e documenta ogni modifica. Questo ti aiuta a tenere traccia di chi ha accesso e a rispettare le regole di conformità.

Suggerimenti su prestazioni e throttling

Vuoi che la tua pipeline funzioni bene. Microsoft Graph e SharePoint Online possono rallentare se chiedi troppo in una volta sola. Rispetta le regole di throttling. Se ricevi "429 Too Many Requests", attendi più a lungo prima di riprovare. Dividi i processi in gruppi più piccoli. Elabora i siti a lotti, non tutti insieme. Esegui gli audit quando lavora meno gente. Così sollecitate meno il sistema. Controlla la cronologia dei processi e riprova se qualcosa non riesce. Proteggi i dati sensibili salvando i risultati in posizioni sicure.

Nota: conserva sempre i segreti in Azure Key Vault. Non inserire mai password negli script.

Piano di implementazione in 30-60-90 giorni

Puoi configurare il tuo audit automatico delle autorizzazioni in tre passaggi. Primo, fai un pilota: scegli alcuni siti ed esegui la tua pipeline. Verifica che i risultati corrispondano a quelli che trovi manualmente. Poi aggiungi altri siti e attiva gli avvisi basati sulle differenze per intercettare le modifiche rischiose. Infine, integra il processo nei tuoi controlli di sicurezza ordinari. Crea dashboard in Power BI. Documenta i passaggi. Condividi i risultati con il tuo team.

Esempio di piano di implementazione:

1. Giorni 1–7: prova un pilota su pochi siti. Assicurati che i risultati siano corretti.

2. Giorni 8–30: aggiungi tutti i siti a gruppi. Attiva gli avvisi.

3. Giorni 31–90: rendilo parte della routine. Crea report. Inseriscilo nelle revisioni.

Nota: inizia in piccolo, impara in fretta e fai crescere il tuo processo. Così individui i problemi in anticipo e il team si fida dell'automazione.

Puoi vedere chi ha accesso usando una pipeline di audit automatico delle autorizzazioni di SharePoint Online. Questo ti aiuta a individuare i rischi, a risparmiare tempo e a rispettare le normative. Per prima cosa, registra un'app in Entra ID. Poi esegui uno script semplice su pochi siti.

Audit regolari e automatici ti aiutano a individuare rapidamente le modifiche alle autorizzazioni e a proteggere i tuoi dati. Inizia ora a rendere SharePoint più sicuro e affidabile.

Domande frequenti

Con quale frequenza bisogna eseguire gli audit delle autorizzazioni?

Per i siti ad alto rischio gli audit dovrebbero essere eseguiti ogni giorno. Gli audit settimanali vanno bene per la maggior parte dei siti. I controlli regolari ti aiutano a intercettare le modifiche e a proteggere i dati.

Quali autorizzazioni deve avere l'app per l'audit di SharePoint Online?

La tua app ha bisogno di Sites.Read.All e Group.Read.All. Queste autorizzazioni consentono di vedere l'accesso a siti e gruppi. Usa sempre il privilegio minimo necessario.

È possibile usare Power BI per visualizzare i risultati dell'audit?

Sì, puoi usare Power BI. Importa i tuoi file CSV o JSON. Crea dashboard per mostrare gli utenti ospiti, gli account con privilegi elevati e le modifiche nel tempo.

Cosa succede se Microsoft Graph limita le tue richieste?

Se vieni limitato, attendi e riprova più tardi. Usa il backoff esponenziale. Suddividi i job in batch più piccoli per evitare di superare i limiti.

Come si proteggono i segreti nella pipeline di automazione?

Conserva certificati e password in Azure Key Vault. Non inserire mai segreti negli script. Così le tue credenziali restano al sicuro e i tuoi dati protetti.

Ascolta anche

Se stai approfondendo l'audit delle autorizzazioni di SharePoint, questi episodi offrono un contesto pratico su implementazione, architettura, sicurezza e governance:

• Microsoft Teams Governance – The Illusion of Control — Scopri come proprietà, criteri e ciclo di vita dei gruppi influenzano il funzionamento affidabile di Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — Comprendi orchestrazione, guardrail, valutazione e osservabilità per i flussi di lavoro basati sull'AI.
• Azure AI Foundry – Simply Explained — Scopri come vengono create, valutate, distribuite e governate le soluzioni AI aziendali.
• Microsoft Defender XDR – Simply Explained — Collega le scelte di implementazione alla visibilità sulla sicurezza, all'analisi e alla risposta agli incidenti.