Guida alla federazione di ADFS con Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Capisci la federazione AD FS, SSO, le relazioni di trust e la sicurezza, poi esplora la migrazione da AD FS a Microsoft Entra ID e i problemi di risoluzione più comuni.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

La federazione con Active Directory Federation Services (AD FS) ha un ruolo centrale nel modo in cui le organizzazioni moderne gestiscono l'identità digitale e il single sign-on (SSO). Man mano che le aziende crescono e le loro esigenze evolvono, soprattutto con la diffusione delle applicazioni cloud e delle piattaforme di collaborazione, capire AD FS è più importante che mai. Questa guida illustra cosa fa AD FS, come si inserisce nell'ecosistema Microsoft più ampio e perché il passaggio a soluzioni avanzate come Entra ID e Azure AD sta trasformando il panorama dell'autenticazione aziendale.

Dai concetti di base, come l'identità federata, fino alle strategie di migrazione dettagliate e alle best practice di sicurezza, troverai una panoramica completa su come funziona AD FS, insieme a ciò che devi sapere quando pianifichi il passaggio all'identità cloud moderna. Che tu stia risolvendo problemi su un'installazione esistente o progettando un nuovo approccio, questa risorsa ti aiuta a prendere decisioni consapevoli e a mantenere solida la tua strategia di autenticazione.

Fondamenti di Active Directory Federation Services

Active Directory Federation Services (AD FS) è al centro del modo in cui molte organizzazioni collegano tra loro i diversi sistemi di autenticazione, soprattutto quando hai un insieme eterogeneo di risorse on-premises e servizi cloud. Il concetto di base è semplice: l'identità federata consente agli utenti di accedere ad applicazioni esterne al proprio ambiente di origine usando le credenziali a cui sono abituati. Si tratta di abbattere le barriere digitali tra organizzazioni e servizi, rendendo l'accesso più sicuro e fluido per tutti.

Immagina di avere partner, fornitori o team remoti che devono lavorare sui tuoi sistemi, senza però voler distribuire una serie di username e password aggiuntivi. AD FS entra in gioco creando dei "ponti di fiducia" che permettono a questi utenti di accedere come se fossero nella propria sede. È la risposta di Microsoft alla vecchia domanda "come condividiamo le risorse senza rinunciare alla sicurezza?", supportata da una solida base tecnica fatta di standard come SAML e OAuth.

Se stai appena iniziando a esplorare la federazione delle identità, oppure gestisci le relazioni di trust tra domini da anni, questa sezione pone le basi. Vedremo cosa fa AD FS, perché è ancora rilevante e come si è evoluto insieme alle realtà aziendali cloud e ibride. I dettagli arriveranno nelle parti successive, ma per ora sappi che AD FS è il tuo punto di partenza per un'autenticazione sicura tra confini diversi negli ambienti dominati da Microsoft.

Cos'è la federazione di Active Directory e come funziona?

Active Directory Federation Services (AD FS) è uno strumento sviluppato da Microsoft per consentire un'autenticazione sicura e senza interruzioni tra confini organizzativi e di dominio. Il cuore di AD FS è l'"identità federata": i tuoi utenti possono accedere a sistemi, app o servizi che non sono controllati dal tuo dominio, usando sempre le credenziali abituali. Nessuno deve ricordare una dozzina di password o destreggiarsi tra più accessi solo per lavorare.

Come funziona? AD FS utilizza protocolli standard del settore come SAML (Security Assertion Markup Language) e OAuth per stabilire relazioni di fiducia, spesso chiamate "trust federati", tra la tua organizzazione (il provider di identità) e le applicazioni esterne o i partner (le relying party). La magia sta nell'autenticazione basata su claim: dopo aver verificato l'utente, AD FS emette un "token di sicurezza" che contiene dei claim, in sostanza informazioni sull'identità e sulle autorizzazioni dell'utente. L'applicazione di destinazione verifica il token e concede l'accesso se tutti i controlli sono superati.

Storicamente, AD FS ha aiutato le grandi aziende a offrire il single sign-on (SSO) sia per le applicazioni on-premises sia per risorse cloud come Office 365. Ai tempi, prima che directory cloud native come Entra ID diventassero di uso comune, AD FS era il ponte che manteneva l'autenticazione fluida anche tra i confini aziendali. Oggi resta un componente fondamentale per gli ambienti ibridi, anche se molte organizzazioni stanno ormai pianificando il passaggio a soluzioni di identità basate sul cloud per maggiore flessibilità e sicurezza.

Componenti principali dell'architettura di AD FS

Federation Server: il motore principale di AD FS che autentica gli utenti, emette token basati su claim e gestisce le relazioni di trust con le relying party.
Web Application Proxy (WAP): Agisce da gateway, fornendo accesso proxy sicuro per gli utenti esterni e proteggendo i server di federazione dall'esposizione diretta a internet.
Claims Provider: Fornisce i dati di identità dell'utente, spesso recuperandoli da Active Directory, da usare per la generazione dei token e l'emissione delle attestazioni.
Relying Party Trust: Rappresenta le applicazioni o i sistemi esterni che utilizzano e convalidano i token di AD FS; definisce come vengono trasformate le attestazioni e quali utenti sono autorizzati.
Domain Controller: Autentica gli utenti in Active Directory, confermando le credenziali prima dell'emissione del token.

Flussi di autenticazione di ADFS e attendibilità della federazione spiegati

Quando si parla di single sign-on e accesso sicuro, AD FS si distingue per rendere semplice l'autenticazione per gli utenti finali, anche quando l'infrastruttura sottostante è tutt'altro che semplice. Il cuore di tutto è il modo in cui AD FS gestisce i flussi di autenticazione e l'attendibilità della federazione. Si tratta di spostare credenziali, token e attestazioni in modo sicuro ed efficiente, dal momento in cui un utente tenta l'accesso fino a quando raggiunge l'applicazione o la risorsa di destinazione.

È qui che i dettagli dei protocolli (come SAML, WS-Federation e OAuth) mostrano davvero il loro valore. Il processo procede rapidamente: convalida delle credenziali utente, emissione delle attestazioni, trasformazione degli attributi e invio dei token giusti ai sistemi giusti. Lungo il percorso, le relazioni di attendibilità della federazione garantiscono che le organizzazioni coinvolte su entrambi i lati dello scambio possano avere fiducia nell'identità di chi entra attraverso la porta digitale.

Nella prossima parte illustreremo il tipico percorso di autenticazione di AD FS passo dopo passo, per poi approfondire come si configura l'attendibilità della federazione, in modo che due organizzazioni completamente separate possano consentire un accesso sicuro tra aziende senza preoccupazioni. Comprendere questi concetti prepara i professionisti IT e i team di sicurezza a tutto, dalla creazione di una federazione sicura alla risoluzione di problemi di accesso o di attestazioni più avanti.

Comprendere i flussi di autenticazione di ADFS

L'utente accede all'applicazione: L'utente tenta di aprire un'applicazione federata. Se l'accesso è esterno, passa prima da Web Application Proxy; le richieste interne vanno direttamente ad AD FS.
Richiesta di autenticazione inviata: La relying party dell'applicazione reindirizza il browser dell'utente al server AD FS con una richiesta di autenticazione, che include la risorsa a cui l'utente vuole accedere.
Convalida delle credenziali: AD FS chiede all'utente di accedere (con credenziali di Windows, moduli, MFA o certificato) e verifica tali dati con il controller di dominio di Active Directory.
Creazione delle attestazioni: Una volta convalidato, AD FS crea un token basato su attestazioni. Il token include attributi relativi all'utente, come nome utente, appartenenza a gruppi o indirizzo e-mail, in base a regole preconfigurate.
Emissione del token: Il token di attestazioni viene firmato in modo sicuro da AD FS e restituito al browser dell'utente.
L'applicazione convalida il token: Il browser passa il token all'applicazione di destinazione, che ne verifica l'autenticità usando la parte pubblica del certificato di AD FS.
Accesso concesso: Se il token, le attestazioni e le regole risultano corretti, l'applicazione consente finalmente l'accesso all'utente, senza chiedere un'altra password.

Questo flusso passo dopo passo funziona per il tipico SSO, sia che gli utenti siano interni sia che accedano tramite un partner federato. Una logica simile si applica a OAuth (molto diffuso tra le app SaaS), che conferisce ad AD FS la flessibilità necessaria per gestire un'ampia gamma di scenari e protocolli di autenticazione.

Stabilire l'attendibilità della federazione tra organizzazioni

Configurare un'attendibilità della federazione in AD FS significa creare una relazione in cui due organizzazioni accettano reciprocamente i rispettivi token di autenticazione. Dal punto di vista tecnico, ciò implica configurare ciascuna parte affinché riconosca l'altra come claims provider o relying party attendibile. I certificati SSL vengono scambiati per proteggere la comunicazione e vengono impostati criteri di attendibilità personalizzati per determinare quali attestazioni vengono accettate e come vengono mappate le identità degli utenti.

Una corretta configurazione dell'attendibilità è alla base di un SSO sicuro e senza interruzioni per partner commerciali, fornitori o società controllate, consentendo la collaborazione senza abbassare gli standard di sicurezza dell'organizzazione.

Considerazioni sulla sicurezza e procedure consigliate per la distribuzione di AD FS

Ogni volta che si parla di federazione e SSO, la sicurezza diventa una priorità assoluta: basta una sola violazione o un trust configurato male per propagarsi rapidamente. Con AD FS l'attenzione è rivolta a proteggere l'intera pipeline di emissione dei token, a garantire che solo le persone giuste possano autenticarsi e a tenere gli aggressori lontani dalle risorse più preziose.

Il panorama delle minacce va dal phishing delle credenziali e dal furto di token agli attacchi denial-of-service e ai tentativi di brute force. Servono difese solide in ogni fase: criteri di autenticazione rigorosi, flussi di token cifrati, patch applicate con regolarità e monitoraggio in tempo reale. Questo tipo di sicurezza a più livelli non si limita a tenere lontani gli hacker, ma aiuta anche le organizzazioni a rispettare i requisiti di audit e di governance.

Nelle sezioni successive analizzeremo le difese concrete per AD FS, illustreremo i vettori di attacco più comuni e le relative strategie di mitigazione, e riassumeremo le best practice consolidate per la configurazione sicura, l'audit continuo e l'integrazione con i programmi più ampi di sicurezza e governance. Se cerchi strategie pratiche per ridurre il rischio, incluse le lezioni apprese dagli ambienti Entra ID e Azure di Microsoft, continua a leggere. E se ti interessa capire come identità, accesso condizionale e governance lavorano insieme nel cloud, dai un'occhiata a questo episodio sulla strategia di sicurezza dell'identità per approfondire.

Proteggere l'emissione dei token e l'autenticazione in AD FS

Applica criteri rigorosi per password e credenziali: imposta password complesse e regole di scadenza stringenti per ridurre l'esposizione di credenziali deboli.
Abilita l'autenticazione a più fattori (MFA): aggiungi un secondo passaggio di verifica (come un codice sul telefono o un token hardware) per bloccare gli accessi non autorizzati, anche se una password è stata compromessa.
Usa canali di token sicuri e cifrati: richiedi SSL/TLS per tutti gli scambi di token e assicurati che i token siano firmati e cifrati per impedire manomissioni o intercettazioni.
Limita la durata dei token: usa token a vita breve per ridurre la finestra di attacco nel caso in cui un token venga rubato o riprodotto.

Per ulteriori approfondimenti sulla prevenzione degli attacchi che aggirano anche la MFA, come gli abusi del consenso OAuth, consulta questi controlli essenziali per proteggere Entra ID.

Principali considerazioni sulla sicurezza e mitigazione delle minacce

Phishing delle credenziali: forma gli utenti a riconoscere il phishing e richiedi la MFA per proteggere il punto di accesso.
Replay e furto di token: usa token a vita breve e una validazione continua dei token per limitare i danni dei token intercettati.
Attacchi denial-of-service (DoS): distribuisci AD FS e i server proxy in configurazioni ad alta disponibilità e limita l'esposizione alle reti non attendibili.
Gestione delle patch: aggiorna regolarmente AD FS e tutti i sistemi dipendenti per correggere le vulnerabilità prima che vengano sfruttate dagli attaccanti.
Audit e monitoraggio: implementa logging e monitoraggio solidi per individuare tempestivamente le attività sospette; per un approccio più ampio basato su zero trust, consulta questo episodio podcast sullo Zero Trust.

Best practice per la distribuzione e il monitoraggio di AD FS

Ridondanza e bilanciamento del carico: distribuisci più server di federazione e proxy per eliminare i single point of failure e supportare grandi volumi di utenti.
Monitoraggio continuo: usa audit log, monitoraggio degli eventi e avvisi in tempo reale per segnalare rapidamente i pattern sospetti.
Audit di sicurezza periodici: verifica configurazioni e relazioni di trust per individuare scostamenti o lacune e tieniti aggiornato sulle nuove best practice.
Integrazione con le piattaforme di sicurezza cloud: collega i log e gli eventi di AD FS a strumenti SIEM come Microsoft Sentinel o a Microsoft Purview Audit per il rilevamento unificato dei rischi e la reportistica di conformità.
Gestione del ciclo di vita: aggiorna regolarmente token, certificati e impostazioni dei criteri per ridurre il "debito di identità" e il rischio tecnico.

Limitazioni di ADFS e problemi di troubleshooting nelle organizzazioni moderne

Sebbene AD FS abbia aiutato molte organizzazioni a collegare sistemi e utenti in passato, è noto che la tecnologia porta con sé parecchi grattacapi moderni. Se hai gestito un'infrastruttura AD FS, conosci bene la situazione: ci sono i costi di manutenzione, configurazioni di trust complesse e aggiornamenti che arrivano sempre nel momento meno opportuno. Aggiungi ambienti cloud in rapida crescita e i vecchi metodi possono iniziare a sembrare piuttosto obsoleti.

I limiti non sono solo tecnici: possono trasformarsi in rischi per il business. Pensa all'affidabilità dell'autenticazione, alla facilità con cui puoi scalare e alla rapidità con cui riesci ad adattarti quando arriva il prossimo requisito SaaS. Sono questi i punti critici che spingono sempre più team a guardare alle identità basate sul cloud come Entra ID. Ma prima di qualsiasi passo importante, è fondamentale sapere a cosa prestare attenzione e cosa fare quando qualcosa si rompe nel tuo ambiente AD FS.

Di seguito analizzeremo i principali limiti che frenano AD FS nelle aziende di oggi e vedremo nel dettaglio i passaggi pratici di risoluzione dei problemi più probabili per il tuo help desk. Padroneggiare queste basi può farti guadagnare tempo prezioso e sicurezza, che tu stia mantenendo operativo il sistema o preparandoti a una migrazione.

Principali limiti di AD FS per l'autenticazione aziendale

Elevato carico di manutenzione: le implementazioni di AD FS richiedono patch, monitoraggio e manutenzione hardware continui, con un aumento dei costi operativi.
Integrazione limitata con il cloud: la versione legacy di AD FS non può eguagliare le integrazioni profonde e native con SaaS o con la sicurezza cloud-native offerte da Entra ID o Azure AD.
Configurazione complessa: impostare scenari multi-foresta o multi-dominio introduce più componenti in movimento e più possibilità di errori di configurazione.
Sfide di scalabilità: la crescita della base utenti o le esigenze di accesso globale richiedono spesso server aggiuntivi e configurazioni di rete sofisticate.

Risoluzione dei problemi comuni di AD FS

Errori di autenticazione: verifica le autorizzazioni dell'account del servizio, la connettività ai controller di dominio e i tentativi di accesso non riusciti nei log eventi di AD FS (l'ID evento 364 segnala problemi di emissione dei token).
Errori di emissione dei token: controlla le configurazioni delle regole delle attestazioni e dei certificati: certificati non corrispondenti o scaduti sono spesso la causa dei problemi.
Relying party configurate in modo errato: verifica gli endpoint, le relazioni di trust e le trasformazioni delle attestazioni per una corretta mappatura tra i sistemi.
Blocchi account o problemi con le password: assicurati che la sincronizzazione delle password e i criteri degli account siano coerenti tra foreste e domini.
Monitora i log di AD FS: usa gli ID evento pertinenti (come 100 per l'emissione di token riuscita o la serie 300 per i problemi di configurazione) per individuare rapidamente la causa radice.

Migrazione da AD FS a Entra ID e il futuro della federazione

Per le organizzazioni che hanno ancora un piede nell'AD FS legacy e l'altro che entra nel cloud, la strada da percorrere si sta facendo più chiara. Le soluzioni di identità basate sul cloud, come Azure AD ed Entra ID, offrono un'autenticazione solida, flessibile e più sicura per i carichi di lavoro moderni, anche per le vecchie applicazioni che in passato dipendevano esclusivamente da AD FS. Il settore si sta muovendo in questa direzione per buoni motivi: meno overhead hardware, modelli di trust più semplici e una postura di sicurezza pensata per gestire minacce in evoluzione ed esigenze di conformità.

Ma passare da AD FS non è una operazione che si risolve con un semplice interruttore. Migrare a Entra ID (il nuovo ombrello di marca per i servizi di identità Microsoft) significa rivalutare le relazioni di trust, l'integrazione delle applicazioni e il modo in cui criteri come l'accesso condizionale e la governance funzioneranno nel nuovo scenario. Fatto nel modo giusto, ottieni una maggiore soddisfazione degli utenti e controlli più solidi e coerenti tra sistemi cloud e on-premises.

Di seguito trovi un confronto diretto tra AD FS e l'identità cloud, insieme a strategie collaudate per una transizione graduale che non sconvolga gli utenti né apra nuove falle di sicurezza. Se vuoi un assaggio delle sfide di rischio e governance legate all'accesso condizionale in Entra ID, anche questo approfondimento sui cicli di sicurezza dell'identità è un ottimo punto di partenza.

AD FS vs identità basata sul cloud con Azure AD ed Entra ID

Limiti di AD FS: requisiti hardware on-premises, patch, gestione complessa di trust e regole delle attestazioni, integrazione SaaS/cloud nativa limitata e risposta più lenta alle nuove minacce alla sicurezza.
Vantaggi di Azure AD ed Entra ID: integrazione nativa con Microsoft 365, configurazione più semplice, accesso condizionale integrato, onboarding rapido delle app SaaS, applicazione coerente dei criteri e protezione delle identità potenziata per i carichi di lavoro cloud.
Motivazioni strategiche per la migrazione: minori costi di manutenzione, gestione semplificata, accesso scalabile e modelli di sicurezza basati su criteri che si adattano con la crescita dell'azienda.

Per approfondire come le eccezioni e le autorizzazioni accumulate generano un "debito di identità" e come una corretta governance in Entra ID trasforma la sicurezza delle identità cloud, ascolta questo podcast sull'identità come piano di controllo.

Strategie di migrazione per una transizione senza interruzioni da AD FS a Entra ID

Discovery: inventaria tutte le relying party trust, le regole delle attestazioni e le applicazioni integrate con AD FS; mappa le dipendenze e individua i carichi di lavoro pronti per la migrazione.
Pianificazione: progetta un piano di migrazione a fasi, configurando Entra ID e verificando i connettori cloud per la coesistenza ibrida, se necessaria.
Coesistenza: fai funzionare AD FS in parallelo con Entra ID, spostando gradualmente le applicazioni per l'autenticazione tramite Azure AD e monitorando l'esperienza utente e i log di accesso.
Passaggio finale (cutover): migra utenti e carichi di lavoro residui su Entra ID, rimuovi le trust legacy e le regole personalizzate e dismetti l'infrastruttura AD FS on-premises una volta completata la validazione.
Ottimizzazione post-migrazione: rivedi i criteri di accesso condizionale, il provisioning degli utenti e la reportistica in Entra ID per chiudere il ciclo e rendere le tue pratiche di gestione delle identità pronte per il futuro.

Ascolta anche

Se stai approfondendo la federazione ADFS con Entra ID, questi episodi offrono un contesto pratico su architettura, sicurezza, governance e implementazione:

Microsoft AI Agent Harness – Simply Explained — Capisci orchestrazione, guardrail, valutazione e flussi di lavoro AI affidabili.
Microsoft Defender XDR – Simply Explained — Collega le decisioni su identità e AI al monitoraggio e alla risposta in ambito sicurezza.
Microsoft Teams Governance – The Illusion of Control — Scopri come governance, proprietà e criteri riducono il rischio operativo.
Azure Virtual Network – Simply Explained — Comprendi il contesto architetturale alla base della connettività cloud.