Come trovare e verificare i tenant shadow IT in Microsoft Entra ID

By Mirko Peters · 2026-10-25

Scopri come individuare e verificare i tenant shadow IT dimenticati in Microsoft Entra ID, usando segnali di rilevamento automatico e strategie di governance multi-tenant.

Automatically translated with AI from the original post. Read the English original

Scopri come identificare, tracciare e proteggere i tenant shadow IT di Microsoft Entra dimenticati che la tua organizzazione ha creato involontariamente. Questa guida esplora i segnali di rilevamento automatico, l'analisi dei tenant correlati e i passaggi di governance necessari per mappare gli ambienti cloud non gestiti e riportarli sotto controllo centralizzato.

Punti chiave

• Le organizzazioni accumulano spesso più tenant di Microsoft Entra attraverso fusioni, controllate, ambienti di test e shadow IT dei reparti.
• I tenant non gestiti che operano al di fuori della supervisione dell'IT centrale creano punti ciechi critici per la sicurezza e rischi di conformità.
• Microsoft Entra usa l'attività business-to-business, le registrazioni di applicazioni multi-tenant e gli account di fatturazione condivisi per far emergere automaticamente i tenant correlati.
• Stabilire relazioni di governance formali consente alle organizzazioni madre di proteggere tenant separati senza imporre migrazioni complesse immediate.
• Il monitoraggio della configurazione garantisce che il tuo ambiente multi-tenant mantenga le baseline di sicurezza su oltre 200 tipi di risorse.

Il rischio nascosto dei tenant shadow IT

In quasi ogni grande implementazione di Microsoft 365 si nasconde un rischio di cui raramente si parla durante le verifiche di sicurezza standard. Le aziende spesso danno per scontato che la propria presenza nel cloud sia racchiusa in un'unica directory. In realtà, senza averlo mai pianificato, le organizzazioni finiscono per possedere silenziosamente diversi tenant di Microsoft Entra. Quando reparti, singoli dipendenti o team di progetto esterni avviano un rapido pilota, una demo di prodotto o un ambiente di test con una carta di credito aziendale, nasce un tenant completamente nuovo.

Microsoft classifica questi ambienti isolati come tenant shadow IT perché l'IT centrale non li amministra e spesso non sa nemmeno che esistano. Mentre i team di sicurezza spendono milioni per difendere la porta principale da attaccanti esterni, password rubate e campagne di phishing sofisticate, un ingresso laterale potrebbe essere spalancato a causa di un tenant di test dimenticato, creato due anni fa. Un attaccante non deve superare difese strettamente monitorate quando un tenant shadow non aggiornato e non monitorato è rimasto in funzione in background, senza alcuna supervisione amministrativa.

Il pericolo non è solo teorico. Un tenant che nessuno amministra può facilmente essere configurato in modo errato, esponendo dati aziendali sensibili a soggetti non autorizzati. Poiché questi ambienti restano al di fuori dei processi standard di provisioning e controllo, non compariranno mai nelle revisioni trimestrali degli accessi. Quando un revisore esterno chiede chi può accedere a un determinato insieme di file aziendali, un'alzata di spalle non basterà a soddisfare i requisiti normativi. Puoi proteggere solo ciò che vedi e, al momento, il tuo inventario degli asset è probabilmente incompleto.

Come Microsoft Entra fa emergere i tenant dimenticati

Per fortuna Microsoft offre meccanismi integrati per individuare questi ambienti nascosti, analizzando i segnali di connessione che il tuo ecosistema ha generato fin dall'inizio. Questa funzionalità si basa sul rilevamento dei tenant correlati, invece di costringere gli amministratori a compilare manualmente un elenco impossibile di ogni risorsa digitale mai registrata dai dipendenti.

Segnali di attività business-to-business

Il primo segnale importante per individuare i tenant è l'attività business-to-business (B2B). Microsoft Entra analizza in modo continuo gli accessi di utenti ospiti, le registrazioni di ospiti esterni e i flussi di accesso amministrativo che vanno e vengono tra la tua directory principale e ambienti esterni. Se gli utenti della tua organizzazione collaborano attivamente con un tenant sconosciuto, questa contaminazione reciproca viene registrata come una connessione misurabile.

Registrazioni di applicazioni multi-tenant

Le moderne architetture cloud si basano molto su applicazioni che attraversano i confini organizzativi. Il secondo segnale di individuazione tiene traccia delle registrazioni di app multi-tenant. Rientrano in questa categoria le applicazioni personalizzate o commerciali registrate nel tenant principale che si collegano a directory esterne, così come le app di terze parti provenienti da tenant esterni che dispongono di autorizzazioni attive e token API all'interno del tuo ambiente. Questi ponti programmatici lasciano una traccia di audit chiara.

Account di fatturazione condivisi

Forse il vettore di individuazione più sorprendente è la fatturazione. Due tenant Microsoft Entra separati possono essere collegati strutturalmente per il solo motivo di condividere un account di fatturazione Azure o una struttura di contratto enterprise. Nessuno deve inviare un invito e nessun utente deve effettuare manualmente l'accesso oltre i confini. Se un tenant non gestito sta pagando servizi Azure tramite il tuo profilo di fatturazione enterprise, o viceversa, la connessione diventa immediatamente visibile al framework di governance.

Portare i tenant non gestiti sotto una governance centrale

Una volta che l'individuazione ha prodotto un elenco di tenant correlati, gli amministratori devono decidere quali ambienti mantenere, quali dismettere e come governare quelli che restano. Invece di affrontare un progetto di migrazione di tenant dirompente e pluriennale, le organizzazioni possono stabilire una relazione di governance formale.

Una relazione di governance è un collegamento direzionale in cui un tenant padre governa e il tenant figlio è governato. Aspetto cruciale: non si tratta di una vera fusione tecnica; il tenant governato mantiene i propri utenti, dati e carichi di lavoro localizzati. La configurazione prevede un "handshake" sicuro in tre passaggi:

• Il tenant da governare invia un invito amministrativo al tenant padre.
• Il tenant padre risponde con una richiesta che contiene un modello di criterio specifico, che descrive le autorizzazioni amministrative consentite.
• Il tenant figlio esamina e accetta il modello di criterio, rendendo operativo il collegamento di gestione sicuro.

Questa struttura consente agli amministratori IT di gestire più ambienti da un'unica vista centralizzata, usando account del tenant che governa. Elimina l'incubo di sicurezza rappresentato dal mantenere credenziali amministrative separate e disconnesse per decine di singoli portali di tenant.

Monitoraggio e messa in sicurezza dell'ecosistema multi-tenant

Le relazioni di individuazione e di governance sono solo l'inizio. Per evitare che lo shadow IT torni a farsi strada nell'organizzazione, è necessario implementare un monitoraggio attivo della configurazione e controlli sulla creazione sicura.

Il monitoraggio della configurazione consente agli amministratori di definire una baseline delle impostazioni attese e di acquisire un'istantanea continua dell'ambiente cloud effettivo. Un monitor automatico confronta le due ogni sei ore su oltre 200 tipi di risorse che coprono Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview e Microsoft Defender. Se si verifica uno scostamento, i team di sicurezza vengono avvisati immediatamente.

Inoltre, i controlli sulla creazione sicura dei tenant permettono alle organizzazioni di limitare chi è autorizzato a creare un nuovo tenant Microsoft Entra. Qualsiasi nuovo tenant approvato può essere associato automaticamente a una relazione di governance fin dalla sua creazione, garantendo che nessun nuovo ambiente cloud inizi il proprio ciclo di vita completamente non gestito.

Conclusione

I tenant shadow IT non gestiti rappresentano una minaccia silenziosa per la sicurezza aziendale, la privacy dei dati e la postura di conformità. Sfruttando i segnali di individuazione integrati di Microsoft Entra, stabilendo relazioni di governance formali e applicando un monitoraggio continuo della configurazione, i responsabili IT possono finalmente ottenere una visibilità totale sulla vasta presenza cloud della propria organizzazione. Per approfondire questo argomento e ascoltare le opinioni di esperti sull'amministrazione cloud moderna, non perdere l'occasione di ascoltare l'episodio completo del podcast M365 FM.

Domande frequenti

Che cos'è un tenant shadow IT in Microsoft Entra?

Un tenant di shadow IT è un ambiente Microsoft Entra non gestito, creato da dipendenti, reparti o team di progetto senza la conoscenza o la supervisione dell'IT centrale. Questi ambienti spesso ospitano carichi di lavoro di test, pilot o demo al di fuori delle baseline di sicurezza aziendali.

Come fa Microsoft Entra a individuare i tenant sconosciuti?

Microsoft Entra individua i tenant correlati analizzando i segnali di connessione esistenti, tra cui l'attività degli ospiti business-to-business, le autorizzazioni delle applicazioni multi-tenant e i account di fatturazione condivisi o i contratti enterprise.

Una relazione di governance richiede una migrazione completa del tenant?

No. Una relazione di governance stabilisce un collegamento di gestione sicuro e direzionale tra un tenant padre e un tenant figlio, senza che sia necessario migrare utenti, caselle di posta o dati in un'unica directory.

Con quale frequenza il monitoraggio della configurazione controlla le impostazioni del tenant?

Il monitoraggio della configurazione confronta automaticamente l'ambiente cloud effettivo con le baseline dei criteri definite ogni sei ore, su centinaia di tipi di risorse.