Esecuzione di una migrazione senza interruzioni verso Microsoft Entra ID

By Mirko Peters · 2026-08-22

Perché migrare a Microsoft Entra ID adesso? Le organizzazioni stanno abbandonando sempre più spesso i sistemi di identità frammentati per semplificare la gestione degli accessi. Migrare a …

Automatically translated with AI from the original post. Read the English original

Perché migrare ora a Microsoft Entra ID?

Le organizzazioni stanno abbandonando sempre più spesso i sistemi di identità frammentati per semplificare la gestione degli accessi. Migrare a Microsoft Entra ID (in precedenza Azure Active Directory) significa adottare una piattaforma di identità universale che centralizza l'autenticazione sia per le risorse cloud sia per quelle on-premises. A differenza dei provider legacy come SiteMinder, che si basano sull'autenticazione basata su header, Entra ID supporta protocolli moderni come SAML, OpenID Connect e OAuth per proteggere gli ambienti di lavoro ibridi.

Consolidare lo stack di identità permette di adottare misure di sicurezza resistenti al phishing, che i sistemi on-premises più datati faticano a supportare nativamente. Con il passaggio, i team possono sfruttare le funzionalità automatizzate di governance, tra cui l'accesso a tempo tramite Privileged Identity Management e una gestione semplificata del ciclo di vita. Inoltre, la piattaforma abilita metodi di accesso senza password come le chiavi FIDO2 e l'app Microsoft Authenticator, riducendo in modo significativo il rischio di furto delle credenziali.

Il M365 FM Podcast tratta regolarmente questi passaggi, aiutando gli architetti a gestire il passaggio dai vecchi Active Directory Federation Services all'autenticazione cloud-native. Secondo uno studio multi-cloud del 2025, il 75% delle aziende gestisce oggi due o più provider di identità: standardizzare su un unico control plane riduce il debito tecnico e migliora la postura complessiva di Zero Trust.

Mappa le dipendenze prima di sincronizzare

Prima di avviare qualsiasi sincronizzazione, devi eseguire un audit accurato delle dipendenze on-premises attuali. Ne fanno parte l'inventario dei servizi critici come DNS, oggetti Criteri di gruppo e le applicazioni legacy che potrebbero dipendere da Kerberos o NTLM. Non trascurare i componenti infrastrutturali come i relay SMTP, i server RADIUS e le configurazioni di autenticazione delle stampanti, perché spesso si interrompono durante una migrazione lift-and-shift. Anche se piattaforme come il M365 FM Podcast insistono sul passaggio ai protocolli moderni, molte organizzazioni ospitano ancora carichi di lavoro legacy che richiedono percorsi di connettività specifici.

Definisci lo stato di destinazione

Decidi subito se punti a un modello completamente cloud-only o a una configurazione di identità ibrida. Il modello di identità ibrida consente di sincronizzare oggetti utente e gruppo mantenendo i componenti on-premises necessari. Al contrario, il modello cloud-only elimina del tutto AD FS, semplificando il carico di gestione. Se scegli di mantenere componenti ibridi, usa Microsoft Defender for Identity per individuare in modo proattivo le vulnerabilità e gestire le identità compromesse nell'infrastruttura on-premises rimanente.

• Esegui l'audit dei protocolli di autenticazione legacy, inclusi LDAP e Kerberos, che spesso non hanno equivalenti diretti nel cloud.
• Elimina gli account obsoleti e risolvi le mancate corrispondenze degli UPN per evitare errori di sincronizzazione.
• Appiattisci i gruppi annidati dove possibile, perché possono creare strutture di autorizzazioni complesse e non intenzionali nel cloud.
• Verifica se soluzioni MDM di terze parti o requisiti di rete air-gapped rendono necessario mantenere AD FS più a lungo del previsto.

Passare a un modello di identità cloud-native inizia con un audit completo dell'ambiente esistente. Una volta chiaro il perimetro della tua infrastruttura, implementa una base di identità ibrida usando Microsoft Entra Connect per sincronizzare la directory. Un passaggio fondamentale successivo è abbandonare AD FS passando a metodi di autenticazione cloud-native, come Password Hash Sync o Pass-Through Authentication, sfruttando la AD FS Application Migration Wizard per riconfigurare le app relying party per Microsoft Entra ID. Durante tutto il processo, usa strumenti di sicurezza per proteggere la tua infrastruttura. Infine, una volta completata la migrazione di applicazioni e utenti, puoi dismettere in modo sistematico i controller di dominio on-premises legacy.

Testare l'autenticazione cloud con Staged Rollout

Il passaggio da Active Directory Federation Services (AD FS) all'autenticazione cloud-native richiede una strategia di convalida affidabile. Staged Rollout funge da ponte per questa transizione: ti permette di migrare selettivamente gruppi di utenti alla convalida basata sul cloud, mantenendo disponibile l'infrastruttura di federazione esistente come soluzione di ripiego. In questo modo riduci il rischio, isolando i potenziali problemi a piccoli segmenti della base utenti.

Configurare la fase pilota

Prima di iniziare, verifica il metodo di sincronizzazione. Devi configurare Password Hash Synchronization o Pass-through Authentication insieme all'ambiente AD FS attivo. Una volta sincronizzate le identità cloud, vai nell'interfaccia di amministrazione di Microsoft Entra per abilitare la funzionalità per specifici gruppi di sicurezza. Per evitare colli di bottiglia nelle prestazioni o timeout nell'esperienza utente, inizia limitando il gruppo pilota iniziale a non più di 200 utenti.

• Mantieni online il provider di identità federata per tutta la durata della distribuzione, così da garantire un percorso di ripiego senza interruzioni.
• Monitora i pattern di autenticazione e lo stato della transizione nell'interfaccia di amministrazione di Microsoft Entra.
• Ricorda che Staged Rollout è un meccanismo temporaneo, non una configurazione a lungo termine: prepara il passaggio completo del dominio una volta conclusi i test.

Converti il dominio federato in gestito

Passare da un modello federato a un'autenticazione gestita è un traguardo importante, perché semplifica l'ambiente e rimuove la dipendenza da infrastrutture legacy come AD FS. Prima di avviare questo passaggio, assicurati che la strategia di sincronizzazione sia solida. Il M365 FM Podcast sottolinea spesso che le organizzazioni che non verificano lo stato della sincronizzazione prima di un cutover rischiano un blocco diffuso degli utenti.

Quali sono i passaggi essenziali per convertire un dominio federato in un dominio gestito in Entra ID? Per convertire un dominio federato in uno gestito, devi prima assicurarti che Password Hash Synchronization (PHS) o Pass-through Authentication (PTA) sia completamente configurata e verificata.

1. Connettiti a Microsoft Graph PowerShell SDK usando il comando Connect-MgGraph -Scopes "Domain.ReadWrite.All".
2. Assicurati di avere il ruolo Amministratore nome dominio o Amministratore globale, perché queste autorizzazioni sono obbligatorie per modificare le impostazioni del dominio.
3. Esegui Update-MgDomain -DomainId <your-domain.com> -AuthenticationType "Managed" per avviare il processo di conversione.
4. Verifica lo stato aggiornato del dominio nell'interfaccia di amministrazione di Microsoft Entra ed esegui subito un test con un gruppo pilota di utenti, per confermare che l'autenticazione sul cloud funzioni correttamente.

Tieni presente che la conversione del dominio può richiedere fino a 60 minuti per propagarsi. Durante questo intervallo, le sessioni del browser già attive generalmente restano valide, ma le nuove richieste di autenticazione inizieranno a usare il flusso gestito. Se riscontri problemi, Staged Rollout resta la rete di sicurezza migliore per una verifica granulare.

Anticipa i classici problemi della migrazione

Quali sfide comuni devono aspettarsi gli architetti cloud durante una transizione verso Entra ID? I rischi più seri emergono quando i team considerano la migrazione una semplice sostituzione di piattaforma anziché una riprogettazione completa della gestione degli endpoint. Mentre l'attenzione si concentra spesso sugli account utente, la tua infrastruttura dipende da protocolli radicati come RADIUS per l'accesso alla rete, relay SMTP per la messaggistica e l'autenticazione delle stampanti legacy, che non possono semplicemente passare al cloud senza un piano.

Non eseguire un inventario completo delle dipendenze prima di sincronizzare gli oggetti è una delle cause principali dei downtime a metà migrazione. Mappando questi flussi di lavoro, devi scegliere tra una configurazione ibrida permanente o un vero modello solo cloud. Rimanere in uno stato intermedio indefinito e non gestito porta spesso a lacune di sicurezza e attriti operativi. Chi ascolta scopre spesso che definire questo stato di destinazione in anticipo riduce la complessità della gestione di ambienti duplici.

Il debito tecnico si manifesta spesso sotto forma di account obsoleti, strutture di gruppi molto annidate e mancate corrispondenze tra UPN, che si trascinano nel nuovo ambiente e lo inquinano. Anziché migrare il disordine accumulato, ripulisci gli attributi di Active Directory per garantire una transizione senza intoppi verso Microsoft Entra ID. Per chi affronta questi ostacoli, la documentazione di migrazione delle applicazioni di Microsoft Entra offre un approccio strutturato alla classificazione delle app, che aiuta a dare priorità alle integrazioni semplici prima di affrontare le dipendenze legacy complesse.

Usa la AD FS Application Migration Wizard e gli strumenti disponibili

Spostare le applicazioni legacy fuori da Active Directory Federation Services (AD FS) spesso sembra la parte più impegnativa di un progetto di modernizzazione dell'identità. Per semplificare il lavoro, la AD FS Application Migration Wizard è uno strumento specializzato per individuare, valutare e configurare le applicazioni relying party. Grazie all'automazione, gli architetti possono analizzare le configurazioni esistenti e ottenere report sull'idoneità delle applicazioni, con l'indicazione di quali servizi sono pronti per un passaggio immediato e quali presentano ostacoli tecnici.

Quando affronti questa transizione, segui un ciclo di vita della migrazione strutturato. Inizia usando Discovery and Scope per catalogare ogni applicazione, comprese quelle in sviluppo. Nella fase di classificazione, dai priorità alle applicazioni SaaS semplici della galleria che supportano più provider di identità, prima di passare alle applicazioni personalizzate legacy complesse. Per le applicazioni web che non possono essere modernizzate completamente, Microsoft Entra application proxy e Secure Hybrid Access (SHA) ti permettono di colmare il divario, offrendo accesso remoto sicuro senza richiedere una VPN tradizionale.

Scegli il metodo di autenticazione cloud: PHS, PTA o CBA

Scegliere il percorso di autenticazione giusto determina la tua postura di sicurezza e l'esperienza utente. Microsoft consiglia Password Hash Synchronization (PHS) come scelta preferita per la maggior parte delle organizzazioni. Sincronizzando gli hash delle password nel cloud, sblocchi funzionalità di sicurezza essenziali come il rilevamento di credenziali compromesse e Identity Protection, e abiliti al tempo stesso la transizione verso metodi di accesso moderni senza password, come le chiavi FIDO2.

Per gli ambienti in cui vincoli normativi impediscono di archiviare gli hash delle password nel cloud, Pass-through Authentication (PTA) è un'alternativa valida. Questo metodo convalida direttamente le credenziali degli utenti rispetto ad Active Directory locale. Se implementi PTA, installa più agenti di autenticazione leggeri per garantire un'elevata disponibilità, perché questi server diventano i principali guardiani degli accessi ai servizi cloud.

Quando devi soddisfare requisiti stringenti di resistenza al phishing, come quelli definiti in EO 14028, passa all'autenticazione basata su certificato (CBA) di Microsoft Entra. Con questo approccio gli utenti possono autenticarsi tramite smart card o certificati, ottenendo una verifica dell'identità ad alta garanzia che resta indipendente dal server di federazione locale.

Per mantenere un'esperienza fluida durante la transizione, implementa Seamless SSO insieme al metodo scelto. Se la tua forza lavoro usa dispositivi macOS o iOS, dovresti distribuire il plug-in Microsoft Enterprise SSO per dispositivi Apple, così da garantire accessi fluidi e persistenti senza richieste di autenticazione continue. Abbiamo riscontrato che combinare questi metodi con criteri di accesso condizionato solidi offre il miglior equilibrio tra sicurezza aziendale e produttività degli utenti.

Pianifica la dismissione di AD FS

Dismettere l'infrastruttura di federazione legacy è il passo finale per raggiungere una postura di identità moderna. Prima di intraprendere qualsiasi azione permanente, devi verificare che nessun traffico residuo dipenda dalla farm AD FS. Usa il report Connect Health Usage Analytics per confermare che tutte le richieste di autenticazione siano passate correttamente a Microsoft Entra ID.

Una volta confermato che l'autenticazione gestita nel cloud è stabile e che nessun utente accede ancora ai server di federazione, esegui un backup completo dell'intero ambiente. Questa misura di sicurezza è essenziale nel caso in cui sia necessario ripristinare la connettività durante la pulizia finale.

1. Rimuovi tutte le voci dal bilanciatore del carico locale per interrompere il traffico in ingresso.
2. Aggiorna o elimina i record DNS associati ai servizi di federazione per reindirizzare le richieste.
3. Disinstalla sistematicamente i ruoli server Web Application Proxy e AD FS.
4. Elimina i dati di configurazione residui cancellando i contenitori dei certificati tramite ADSI Edit, così da garantire la completa rimozione dall'ambiente.

Rimuovere questi componenti legacy riduce la superficie di attacco e il carico di gestione. Eliminando sistematicamente questi livelli, consolidi la transizione verso un modello di identità cloud-native.

Migra i criteri di autenticazione prima della scadenza

Microsoft sta consolidando i controlli di identità legacy in un unico criterio dei metodi di autenticazione per offrire una gestione più granulare e centralizzata. Questo passaggio sostituisce le vecchie interfacce MFA e SSPR, separate tra loro, con un unico motore di criteri semplificato nell'interfaccia di amministrazione di Microsoft Entra. Entro la scadenza del 30 settembre 2025, tutte le organizzazioni devono completare questa transizione, perché i portali di gestione legacy non supporteranno più la configurazione né la risoluzione dei problemi per le impostazioni di autenticazione.

Per iniziare, vai su Protezione > Metodi di autenticazione > Criteri nel portale di Entra. Usa la procedura guidata di migrazione integrata per verificare l'ambiente attuale e individuare i conflitti tra le impostazioni legacy esistenti e il nuovo framework. Impostare lo stato di migrazione su «Migrazione in corso» è una best practice consigliata: ti consente di testare i nuovi criteri mantenendo attive le impostazioni legacy per la base utenti esistente.

• I metodi di autenticazione avanzati, come le chiavi di sicurezza FIDO2, il Temporary Access Pass (TAP) e l'autenticazione basata su certificato, sono gestiti esclusivamente tramite il nuovo criterio.
• Il processo di migrazione è reversibile e ti permette di passare da uno stato all'altro se ti serve ripristinare il comportamento precedente durante la fase di test.
• Lo strumento automatico migra le impostazioni a livello di tenant, ma è necessaria una revisione manuale per assicurarsi che le configurazioni specifiche dei gruppi siano replicate correttamente.
• Passare a questo criterio unificato consente un migliore allineamento con gli standard di sicurezza moderni, come l'MFA resistente al phishing.

Come in ogni transizione dell'identità, tieni d'occhio l'impatto sulla registrazione degli utenti. Se disabiliti un metodo su cui gli utenti fanno attualmente affidamento, potrebbe essere necessario che si registrino di nuovo prima di poter accedere alle risorse aziendali. Monitorare i log di accesso tramite l'interfaccia di amministrazione di Microsoft Entra aiuta a garantire che questo aggiornamento del criterio non interrompa le operazioni aziendali mentre ti avvicini a una postura di autenticazione unificata e più sicura.

Proteggi con Accesso condizionale e monitoraggio

La transizione verso una sicurezza cloud-native richiede una convalida attenta per evitare di bloccare gli utenti. Prima di applicare nuovi standard di sicurezza, testa sempre i tuoi criteri di Accesso condizionale in modalità solo report. Usa lo strumento What If nell'interfaccia di amministrazione di Microsoft Entra per simulare come specifici criteri influiranno sull'accesso degli utenti in base alla posizione, allo stato del dispositivo o alla sensibilità dell'applicazione. Questo passaggio proattivo garantisce che le regole di sicurezza siano efficaci e non dirompenti.

Oltre ai test, dovresti aggiornare le soglie di blocco. Durante la migrazione, configura il blocco intelligente in Microsoft Entra ID con un intervallo più breve rispetto alle impostazioni di Active Directory locale, per offrire una mitigazione più immediata contro gli attacchi di forza bruta. Per mantenere la visibilità durante la transizione, affidati alle cartelle di lavoro Hybrid Auth per monitorare i flussi di autenticazione e individuare eventuali anomalie. Tieni sotto stretto controllo questi log di accesso per una o due settimane dopo la migrazione, per verificare che gli utenti riescano ad autenticarsi e per poter effettuare un rollback rapido se emergono problemi.

Per una protezione a lungo termine, sfrutta Microsoft Entra Backup and Recovery, ora disponibile a livello generale. Questa funzionalità esegue automaticamente il backup degli oggetti critici della directory, inclusi utenti, gruppi e i criteri di Accesso condizionale appena configurati. Usare questi strumenti integrati aiuta a ripristinare il tenant in uno stato noto e valido in caso di modifiche accidentali o dannose.

Approfondisci la documentazione e le risorse di Microsoft Entra ID

Dove posso trovare la documentazione più recente e le risorse per padroneggiare Microsoft Entra ID? Per padroneggiare Microsoft Entra ID, la destinazione principale è il portale ufficiale Microsoft Learn, che offre percorsi di apprendimento strutturati che vanno dai concetti fondamentali di identità alla governance avanzata e ai criteri di Accesso condizionale.

Per l'amministrazione quotidiana e gli approfondimenti tecnici, la documentazione di Entra ID offre guide complete su integrazione delle app, identità ibrida e monitoraggio della sicurezza. Se preferisci la formazione con istruttore, dai un'occhiata ai Microsoft Virtual Training Days: sessioni gratuite in tempo reale che ti aiutano a prepararti agli esami di certificazione.

Inoltre, monitorare regolarmente la sezione 'Novità' della documentazione di Entra è fondamentale per tenere il passo con i rapidi aggiornamenti del prodotto.

Governa l'accesso con PIM e la gestione del ciclo di vita delle identità

Passare a un modello di identità cloud-native richiede di abbandonare l'accesso amministrativo permanente. Microsoft Entra ID Privileged Identity Management (PIM) risponde a questa esigenza abilitando l'attivazione dei ruoli basata sul tempo e sull'approvazione. A differenza dei sistemi legacy che concedono autorizzazioni persistenti, PIM applica un accesso just-in-time, riducendo in modo significativo la superficie d'attacco per gli account privilegiati.

Gestire in modo efficace il ciclo di vita delle identità spesso inizia con il provisioning guidato dalle risorse umane. Integrando fonti come Workday o SuccessFactors, le organizzazioni automatizzano la creazione, l'aggiornamento e la disattivazione degli utenti, garantendo che i diritti di accesso restino allineati allo stato reale del dipendente. In questo modo si elimina il rischio di account orfani, che tipicamente si accumulano negli ambienti gestiti manualmente.

Automatizzare accessi e conformità

Per la gestione continua delle risorse, Entitlement Management automatizza richieste di accesso, assegnazioni e scadenze per applicazioni e gruppi. Per mantenere una postura Zero Trust, gli amministratori dovrebbero implementare revisioni periodiche degli accessi per verificare che le autorizzazioni siano ancora necessarie. Queste revisioni aiutano a garantire la conformità, verificando che solo gli utenti autorizzati mantengano l'accesso a gruppi o ruoli sensibili.

• Usa i gruppi dinamici come fonte automatica di riferimento per i gruppi locali.
• Sfrutta la sincronizzazione dei gruppi cross-tenant per mantenere coerente l'appartenenza ai gruppi in più ambienti.
• Consenti ai team di revocare le sessioni o disabilitare gli utenti senza richiedere privilegi eccessivi nella directory.

Pianificare le identità esterne e il futuro

Gestire le identità esterne richiede un approccio proattivo, dato che Microsoft sta modificando la propria offerta di servizi. Le organizzazioni che utilizzano Azure AD B2C devono prepararsi a una transizione manuale verso Microsoft Entra External ID, perché al momento non esiste un percorso nativo e completamente automatizzato tra le due piattaforme. Sarà necessario esportare i dati utente dalla directory esistente e importarli nel nuovo tenant. Sebbene sia disponibile su GitHub un toolkit di migrazione supportato dalla community che può aiutare nel processo, conviene sfruttare la migrazione delle password Just-In-Time (JIT) per garantire un'esperienza più fluida al primo accesso degli utenti.

Oltre alla gestione delle identità esterne, anche l'architettura di sincronizzazione principale richiede attenzione. Microsoft sta avviando il passaggio da Microsoft Entra Connect Sync a Microsoft Entra Cloud Sync, nativo per il cloud, con le notifiche ufficiali di migrazione previste a partire da luglio 2026. Questo cambiamento riduce la complessità on-premises, spostando la logica di sincronizzazione nel cloud.

La sicurezza resta la priorità durante questi aggiornamenti. Dal 1° giugno 2026 Microsoft bloccherà le operazioni di "hard-match" che collegano i nuovi utenti di Active Directory locale ad account cloud esistenti che già hanno ruoli amministrativi. Questa misura di protezione serve a prevenire la manipolazione degli attributi e a proteggere le identità con i privilegi più elevati da acquisizioni non autorizzate. Mentre prepari l'ambiente al futuro, verifica fin da ora le connessioni cross-tenant esistenti e le assegnazioni amministrative, per evitare interruzioni del servizio quando questi controlli di sicurezza entreranno in funzione.

Il percorso verso un'identità senza interruzioni nel cloud

Il percorso di modernizzazione delle identità è un processo a più fasi che va dalla scoperta e definizione dell'ambito iniziali fino a uno stato cloud completamente gestito. Costruendo una solida base ibrida, ti allontani dai limiti dei sistemi legacy per andare verso le funzionalità di Microsoft Entra ID. Le transizioni riuscite si basano su una validazione rigorosa, in particolare tramite lo Staged Rollout, che consente di testare i metodi di autenticazione con gruppi selezionati di utenti prima del passaggio completo.

Dopo la migrazione, il tuo lavoro si sposta sul monitoraggio attivo dei log di accesso e sulle configurazioni dei criteri dei metodi di autenticazione. La coerenza è essenziale, e dovresti sempre verificare che l'attività di federazione legacy si sia interrotta prima della dismissione definitiva. Per stare al passo con questi cambiamenti, sintonizzati sul M365 FM Podcast per approfondimenti quotidiani su questi aggiornamenti.

Non aspettare la scadenza finale per affrontare il debito tecnico. Inizia oggi a verificare le tue dipendenze per sbloccare l'accesso senza password e le funzionalità di sicurezza avanzate. Che tu stia rifattorizzando app legacy o consolidando i criteri, la roadmap verso il cloud è più chiara che mai se usi le risorse di documentazione ufficiali.