Come gestire in modo efficace le service principal in Entra ID

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Proteggi le service principal in Microsoft Entra ID per una gestione delle identità più sicura. Scopri gli oggetti applicazione e service principal all'interno del tuo tenant.

Automatically translated with AI from the original post. Read the English original

Gestire service principal e registrazioni di app in Entra ID è fondamentale per mantenere la sicurezza e il controllo degli accessi. Una governance efficace ti aiuta a prevenire incidenti di sicurezza significativi, come escalation dei privilegi e compromissione del tenant. Ad esempio, gli attaccanti possono sfruttare service principal gestiti male per reimpostare le password degli amministratori e ottenere accesso non autorizzato ai sistemi critici. Adottando pratiche di gestione solide, puoi mitigare questi rischi e mantenere l'ambiente sicuro. I passaggi chiave includono la comprensione dei service principal, l'assegnazione di autorizzazioni appropriate e la revisione periodica dei criteri di accesso.

Se stai imparando a gestire in modo efficace le service principal in Entra ID, questi fatti poco noti possono cambiare il modo in cui proteggi e gestisci le identità automatizzate.

1. Le service principal sono distinte dagli oggetti applicazione: un oggetto applicazione è la definizione globale dell'applicazione; una service principal è l'identità locale in un tenant. Puoi avere un solo oggetto applicazione con più service principal in tenant diversi.
2. Possono avere credenziali che non scadono mai: Entra ID consente di creare client secret o certificati senza scadenza, per scelta progettuale o per errore di configurazione, aumentando il rischio nel lungo periodo se non vengono ruotati manualmente.
3. Le identità gestite usano service principal dietro le quinte: sia le identità gestite assegnate dal sistema sia quelle assegnate dall'utente sono rappresentate come service principal nella directory, il che permette di applicare a loro criteri RBAC e di Accesso condizionale.
4. Le service principal possono essere usate in Accesso condizionale: sebbene l'Accesso condizionale sia pensato principalmente per gli utenti, può valutare i contesti delle applicazioni e alcuni criteri possono avere effetto sulle service principal, soprattutto se combinati con il contesto di autenticazione dell'applicazione.
5. Supportano contemporaneamente autorizzazioni delegate e autorizzazioni applicative: una singola service principal può avere sia autorizzazioni delegate (per conto di un utente) sia autorizzazioni applicative (solo app), il che aumenta la complessità dell'applicazione del principio del privilegio minimo.
6. I log di accesso includono le autenticazioni non interattive delle app: Entra ID registra gli accessi delle service principal, consentendo di individuare attività anomale delle app, ma questi log vengono spesso trascurati rispetto agli accessi degli utenti.
7. Consenso e gestione dei diritti possono lasciare percorsi di accesso nascosti: le applicazioni aziendali e le service principal concesse tramite consenso dell'amministratore o gestione dei diritti possono creare percorsi di accesso indiretti difficili da individuare senza revisioni approfondite di diritti e autorizzazioni.

Punti chiave

• Comprendi la differenza tra registrazioni di app e service principal in Entra ID.
• Assicurati di avere le autorizzazioni corrette prima di gestire le service principal, per evitare blocchi.
• Segui un processo chiaro per registrare le applicazioni in Entra ID, compilando tutti i dettagli necessari.
• Usa più metodi di autenticazione per rafforzare la sicurezza delle tue applicazioni.
• Implementa il controllo degli accessi basato sui ruoli (RBAC) per assegnare alle service principal le autorizzazioni appropriate.
• Rivedi periodicamente i criteri di accesso per verificare che siano allineati alle best practice di sicurezza.
• Esegui audit per monitorare le modifiche e individuare accessi o attività non autorizzati.
• Adotta il principio del privilegio minimo concedendo alle service principal solo le autorizzazioni necessarie.

Prerequisiti per la gestione di Entra ID

Comprendere le service principal

Prima di gestire le service principal in Entra ID, è necessario conoscere alcuni concetti di base. Ecco i punti chiave da comprendere:

• Una registrazione di app (App) è un oggetto univoco a livello globale che rappresenta un'applicazione in Entra ID.
• Una service principal (SP) è un'istanza specifica di tale oggetto applicazione all'interno di un singolo tenant.
• Quando crei una registrazione app, nel tenant viene generata automaticamente un'entità servizio.
• Le entità servizio hanno proprie credenziali e autorizzazioni, distinte dall'oggetto applicazione.
• Le azioni eseguite in un tenant, come la creazione di un utente, vengono eseguite dall'entità servizio.

Il portale di Entra ID può creare confusione. Le entità servizio compaiono in "Applicazioni aziendali" e il termine "entità servizio" viene usato raramente. Questo può generare fraintendimenti sul rapporto tra registrazioni app ed entità servizio.

Autorizzazioni richieste

Per gestire efficacemente le entità servizio ti servono le autorizzazioni corrette. Ecco un riepilogo dei prerequisiti essenziali:

Avere queste autorizzazioni garantisce di poter eseguire le azioni necessarie senza intoppi. Verifica sempre che il tuo account disponga delle autorizzazioni richieste prima di procedere con registrazioni di app o assegnazioni di ruoli.

Comprendendo questi prerequisiti, poni una base solida per la gestione delle entità servizio in Entra ID. Queste conoscenze ti aiuteranno a orientarti nella complessità della gestione degli accessi e a rafforzare la postura di sicurezza della tua organizzazione.

Registrazione delle applicazioni in Entra ID

Passaggi per registrare un'applicazione

Registrare un'applicazione in Entra ID è un processo semplice. Segui questi passaggi per iniziare:

1. Accedi al portale di Entra ID: usa il tuo account di Microsoft Entra per accedere al portale.
2. Vai a Registrazioni app: nel menu a sinistra, seleziona "Registrazioni app".
3. Fai clic su Nuova registrazione: questa opzione permette di creare una nuova applicazione.
4. Compila i dettagli dell'applicazione:
   • Nome: scegli un nome univoco per la tua applicazione.
   • Tipi di account supportati: seleziona chi può usare l'applicazione (ad esempio, solo account di questa directory dell'organizzazione).
   • URI di reindirizzamento: specifica l'URI a cui gli utenti verranno reindirizzati dopo l'autenticazione. È fondamentale per le applicazioni web.
5. Verifica e registra: dopo aver compilato le informazioni necessarie, fai clic su "Registra" per creare l'applicazione.

Una volta registrata, con l'edizione Free puoi creare fino a 50.000 risorse di Microsoft Entra in un singolo tenant. Se verifichi il tuo dominio, questo limite può salire a 300.000 risorse. Puoi inoltre configurare le credenziali per un massimo di 48 app che usano l'single sign-on basato su password.

Configurazione delle impostazioni dell'applicazione

Dopo aver registrato l'applicazione, devi configurarne le impostazioni per ottenere sicurezza e funzionalità ottimali. Ecco alcune best practice da seguire:

1. Configura più metodi di autenticazione di Entra ID: usa diversi metodi di autenticazione, come l'autenticazione a più fattori (MFA) e l'autenticazione senza password, per rafforzare la sicurezza.
2. Usa i gruppi di Entra ID per assegnare le autorizzazioni: crea gruppi di utenti per gestire efficacemente il controllo degli accessi. Così gli utenti hanno solo le autorizzazioni necessarie.
3. Usa i criteri di accesso condizionale (CAP): implementa i CAP per definire le condizioni di accesso alle risorse. Questo aggiunge un ulteriore livello di sicurezza grazie al controllo granulare.

Inoltre, valuta di eseguire un inventario delle app. Identifica e cataloga tutte le app collegate a Entra per una gestione efficace. Verifica regolarmente le autorizzazioni assegnate a ciascuna app per orientare la tua strategia di sicurezza. Disattiva le app non utilizzate per ridurre la superficie di attacco.

Seguendo questi passaggi e le best practice, puoi assicurarti che la tua applicazione sia configurata correttamente e protetta all'interno di Entra ID.

Assegnazione dei ruoli per le entità di servizio

Panoramica di RBAC

Role-Based Access Control (RBAC) è una funzionalità fondamentale in Entra ID. Ti aiuta a gestire chi può accedere a quali risorse all'interno della tua organizzazione. Con RBAC puoi assegnare ruoli alle entità di servizio, garantendo che dispongano delle autorizzazioni corrette per svolgere le proprie attività senza compromettere la sicurezza.

In Entra ID esistono due tipi di definizioni di ruolo:

• Ruoli predefiniti: hanno un insieme fisso di autorizzazioni. Non possono essere modificati, ma coprono gli scenari più comuni.
• Ruoli personalizzati: consentono di adattare le autorizzazioni alle esigenze specifiche. La creazione di un ruolo personalizzato prevede un processo in due passaggi: definire il ruolo e assegnarlo.

Capire questi tipi di ruolo ti aiuta a scegliere l'approccio giusto per le tue applicazioni. Per ulteriori informazioni su RBAC, puoi consultare la panoramica del controllo degli accessi basato sui ruoli.

Assegnazione dei ruoli

Assegnare ruoli alle entità di servizio è essenziale per una gestione efficace. Segui questi passaggi per assegnare correttamente i ruoli:

1. Crea assegnazioni di ruolo: usa l'interfaccia di amministrazione di Microsoft Entra, Microsoft Graph PowerShell o l'API di Microsoft Graph. Tieni presente che l'interfaccia della riga di comando di Azure non è supportata per questa attività.
2. Registra la tua applicazione: assicurati di aver registrato un'app di Microsoft Entra e creato un'entità di servizio tramite il portale di Azure.
3. Scegli il ruolo giusto: esamina i ruoli disponibili per individuare quello che fornisce le autorizzazioni necessarie per la tua applicazione.

Ecco una tabella di riepilogo rapido del processo di assegnazione dei ruoli:

Seguendo questi passaggi, puoi assicurarti che le entità di servizio abbiano l'accesso appropriato per svolgere le proprie funzioni in modo sicuro. Una corretta assegnazione dei ruoli non solo migliora la sicurezza, ma semplifica anche le operazioni all'interno dell'organizzazione.

Metodi di autenticazione per Entra ID

Panoramica dell'autenticazione

Quando gestisci le entità di servizio in Entra ID, hai a disposizione due metodi di autenticazione principali: autenticazione con segreto client e autenticazione basata su certificato. Ciascun metodo ha vantaggi e casi d'uso specifici.

Autenticazione con segreto client

L'autenticazione con segreto client prevede l'uso di una stringa simile a una password, nota come segreto client. Questo metodo è semplice e spesso utilizzato per le applicazioni che richiedono una configurazione rapida. Tuttavia, è essenziale trattare i segreti client come password. Devi conservarli in modo sicuro e ruotarli regolarmente per mantenere la sicurezza.

• Vantaggi:

  • Facile da implementare.
  • Adatto agli ambienti di test e sviluppo.

• Svantaggi:

  • Meno sicuro dell'autenticazione basata su certificato.
  • Vulnerabile all'esposizione se non gestito correttamente.

Autenticazione basata su certificato

L'autenticazione basata su certificato utilizza un certificato digitale per autenticare l'entità di servizio. Questo metodo è più sicuro dei segreti client ed è consigliato per gli ambienti di produzione. Per una sicurezza ottimale è consigliabile usare un certificato attendibile emesso da un'autorità di certificazione (CA). I certificati autofirmati possono essere utilizzati per i test, ma non sono consigliati in produzione.

• Pro:

  • Livello di sicurezza più elevato.
  • Riduce il rischio di furto delle credenziali.

• Contro:

  • Più complesso da configurare.
  • Richiede la gestione dei certificati.

Configurare l'autenticazione

Per configurare l'autenticazione per la tua entità servizio in Entra ID, segui questi passaggi:

1. Apri la home page dell'interfaccia di amministrazione di Microsoft Entra.
2. Vai a Entra ID > Registrazioni app, quindi seleziona la tua applicazione.
3. Nella pagina di panoramica dell'app, copia il valore di ID directory (tenant) e memorizzalo nel codice dell'applicazione.
4. Copia il valore di ID applicazione (client) e memorizzalo nel codice dell'applicazione.
5. Scegli tra autenticazione basata su certificato o su segreto client. Si consiglia di caricare un certificato attendibile emesso da un'autorità di certificazione.
6. Se usi un certificato, caricalo tramite Entra ID > Registrazioni app > Certificati e segreti > Carica certificato.
7. Se usi un segreto client, crealo tramite Entra ID > Registrazioni app > Certificati e segreti > Segreti client > Nuovo segreto client.

Seguendo questi passaggi, puoi assicurarti che la tua entità servizio sia autenticata in modo sicuro, consentendole di accedere alle risorse di cui ha bisogno e riducendo al minimo i rischi per la sicurezza.

Criteri di accesso in Entra ID

Come funzionano i criteri di accesso

I criteri di accesso in Entra ID svolgono un ruolo fondamentale nella protezione delle applicazioni e dei dati. Questi criteri definiscono chi può accedere a quali risorse e a quali condizioni. Ecco alcuni tipi chiave di criteri di accesso che dovresti conoscere:

• Richiedi MFA per gli accessi a rischio: questo criterio chiede agli utenti di completare l'autenticazione a più fattori quando un accesso appare sospetto.
• Blocca o correggi gli account compromessi: questo criterio limita automaticamente l'accesso agli account che mostrano segni di compromissione.

Implementare questi criteri di accesso migliora la tua postura di sicurezza. Ti aiutano a gestire i rischi in modo efficace, automatizzando le risposte alle potenziali minacce. Ad esempio, i criteri di accesso condizionale valutano fattori come l'identità dell'utente, la conformità del dispositivo e i segnali di rischio in tempo reale prima di concedere l'accesso. Questo approccio proattivo non solo migliora la sicurezza, ma garantisce anche la conformità agli standard organizzativi.

Configurare i criteri di accesso

Configurare i criteri di accesso per le entità servizio in Entra ID è semplice. Segui questi passaggi per impostare i tuoi criteri in modo efficace:

1. Accedi all'interfaccia di amministrazione di Microsoft Entra e vai a Entra ID » App aziendali.
2. Fai clic sull'entità servizio che vuoi limitare e vai a Proprietà nella scheda Gestisci.
3. Imposta Abilitato per l'accesso degli utenti? su No e fai clic su Salva per disabilitare l'accesso degli utenti all'applicazione.
4. Per creare un criterio di accesso condizionale, accedi all'interfaccia di amministrazione di Microsoft Entra e vai a Entra ID » Accesso condizionale.
5. Fai clic su +Crea nuovo criterio e inserisci un nome per il criterio.
6. In Assegnazioni, vai a Utenti o identità del carico di lavoro.
7. Seleziona Identità del carico di lavoro in A cosa si applica questo criterio. In Includi, fai clic su Seleziona entità servizio e scegli le entità servizio appropriate dall'elenco.
8. Nella sezione Risorse di destinazione, vai a Includi e seleziona Tutte le risorse (in precedenza "Tutte le app cloud").
9. Nella sezione Condizioni, configura i requisiti specifici che determinano quando il criterio deve attivarsi.
10. In Controlli di accesso, vai a "Concedi", seleziona Blocca accesso e fai clic su "Seleziona".
11. Imposta Abilita criterio su Attivato e fai clic su "Crea" per creare un criterio di accesso condizionale per le identità del carico di lavoro di Microsoft Entra.

Seguendo questi passaggi, puoi assicurarti che le tue service principal operino con controlli di accesso rigorosi. Questo non solo protegge le tue risorse, ma è anche in linea con le best practice di sicurezza e conformità.

Best practice per le service principal

Raccomandazioni di sicurezza

Per proteggere le service principal in Entra ID, segui queste raccomandazioni di sicurezza:

• Usa certificati client invece dei segreti client per una sicurezza migliore.
• Usa Azure Key Vault per gestire certificati e segreti in modo sicuro.
• Applica il principio del privilegio minimo alle service principal. Significa concedere solo le autorizzazioni necessarie per i loro compiti.
• Monitora gli accessi delle service principal tramite i log di accesso di Microsoft Entra. Questo ti aiuta a individuare attività insolite.
• Usa Accesso condizionale per limitare l'accesso da posizioni non attendibili. Questo aggiunge un ulteriore livello di sicurezza.
• Verifica regolarmente l'appartenenza ai ruoli Tier 0 per assicurarti che i livelli di privilegio siano appropriati. Questo previene accessi non autorizzati alle risorse critiche.

Adottando queste pratiche, puoi migliorare in modo significativo la sicurezza delle tue service principal e ridurre il rischio di accessi non autorizzati.

Verifiche periodiche

Eseguire verifiche periodiche è essenziale per mantenere la sicurezza e l'integrità delle tue service principal. Ecco alcune pratiche di verifica comuni che dovresti implementare:

Le verifiche periodiche ti aiutano a mantenere il controllo sullo stato delle tue service principal. Ti permettono di intercettare tempestivamente modifiche non autorizzate o attività sospette, mantenendo l'ambiente sicuro.

Seguendo queste best practice, puoi gestire in modo efficace le tue service principal in Entra ID, migliorando sia la sicurezza sia la conformità.

In sintesi, gestire in modo efficace le service principal in Entra ID richiede diversi passaggi chiave e best practice. Dovresti:

• Registrare correttamente le applicazioni e configurarne le impostazioni.
• Assegnare i ruoli in base al principio del privilegio minimo.
• Implementare metodi di autenticazione solidi.
• Rivedere regolarmente i criteri di accesso e le autorizzazioni.

La gestione continua è fondamentale. La comodità del self-service aumenta la necessità di una gestione degli accessi più efficace. Le revisioni periodiche aiutano a mantenere il controllo sui diritti di accesso. Ogni account ospite dovrebbe avere un proprietario interno responsabile della giustificazione continua dell'accesso. Adottando queste strategie, puoi rafforzare la sicurezza e garantire una governance efficace delle tue service principal.

Questa checklist ti aiuta a implementare le best practice per gestire in modo efficace le service principal in Entra ID.

• Inventario e individuazione: identifica tutte le service principal in tutti i tenant e le sottoscrizioni (crea una scansione o un report ricorrente).
• Associazione ad applicazioni e proprietari: collega ogni service principal alla relativa applicazione, al proprietario di business e al referente di supporto.
• Classificazione di accessi e scopo: documenta lo scopo, l'ambiente (produzione/sviluppo/test) e le autorizzazioni richieste per ogni service principal.
• Privilegio minimo: verifica i ruoli e le autorizzazioni assegnate, rimuovendo o riducendo le autorizzazioni al minimo necessario.
• Preferisci le identità gestite: sostituisci, dove possibile, le registrazioni delle app e le service principal con identità gestite per le risorse Azure.
• Igiene delle credenziali: evita credenziali a lunga durata, preferisci i certificati ai segreti client e ruota le credenziali con regolarità.
• Applica i criteri per le credenziali: implementa l'accesso condizionale e i criteri di Azure AD per password e segreti delle applicazioni, dove applicabile.
• Richiedi MFA o accesso condizionale per l'uso interattivo: blocca o limita le credenziali che consentono l'accesso interattivo, a meno che non sia necessario e siano adeguatamente protette.
• Abilita l'accesso Just-In-Time (JIT) o a tempo limitato: assegna i ruoli con privilegi elevati ai service principal per un periodo limitato, ogni volta che è possibile.
• Convenzioni di denominazione e metadati: adotta standard di denominazione chiari e assegna ai service principal tag con ambiente, proprietario e data di scadenza.
• Criteri di scadenza e ciclo di vita: imposta una scadenza per segreti e certificati e automatizza il ciclo di vita (creazione, rinnovo, revoca, rimozione).
• Disabilita i service principal inutilizzati: disabilita o elimina i service principal non utilizzati entro un periodo definito, dopo aver confermato la situazione con i proprietari.
• Monitora gli accessi e l'uso a rischio: abilita la registrazione e gli avvisi per accessi anomali, attività ad alto rischio e escalation di privilegi.
• Registrazione centralizzata e integrazione con SIEM: invia i log di audit, gli eventi di accesso e le modifiche di provisioning al tuo SIEM per correlazione e conservazione.
• Revisioni degli accessi e audit periodici: esegui revisioni regolari degli accessi per verificare la necessità di ciascun service principal e l'approvazione del proprietario.
• Rafforza API e autorizzazioni: usa autorizzazioni delegate con ambito limitato o ambiti solo applicazione definiti in modo restrittivo.
• Proteggi l'archiviazione dei segreti: conserva i segreti client e i certificati in Azure Key Vault o in un vault equivalente, e limita l'accesso al vault solo ai principal necessari.
• Rimedio automatizzato: implementa playbook automatizzati per disabilitare service principal compromessi o scaduti e per ruotare le credenziali.
• Applicazione dei criteri: usa Azure AD / Entra ID con accesso condizionale, Microsoft Entra permissions management e Azure Policy per far rispettare gli standard.
• Documentazione e runbook: mantieni runbook aggiornati per le procedure di creazione, rotazione d'emergenza delle credenziali e rimozione.
• Verifica accessi e failover: convalida i flussi di autenticazione delle applicazioni dopo la rotazione delle credenziali o le modifiche di configurazione, in un ambiente non di produzione.
• Onboarding e offboarding sicuri: integra la creazione e la rimozione dei service principal nei processi CI/CD e di gestione delle modifiche.
• Account di servizio con privilegi minimi per l'automazione: usa service principal dedicati per le attività di automazione, con diritti strettamente limitati e un proprietario esplicito.
• Verifica gli accessi esterni e degli ospiti: esegui l'audit dei service principal creati da app esterne e concedi l'accesso solo dopo una revisione di sicurezza.
• Conserva le prove di conformità: registra approvazioni, revisioni ed eventi di rotazione per dimostrare la conformità ai requisiti interni ed esterni.
• Formazione di team e proprietari: spiega ai proprietari delle applicazioni e agli sviluppatori come gestire efficacemente i service principal in Entra ID e quali pratiche seguire per proteggere le credenziali.

Domande frequenti: risorse aggiuntive sui service principal di Microsoft Entra ID

Che cos'è un service principal di Microsoft Entra ID e in cosa si differenzia da un oggetto applicazione?

Un service principal di Microsoft Entra ID è la rappresentazione locale di un'istanza dell'applicazione in un tenant o in una directory. Viene creato in ogni tenant in cui l'applicazione viene usata e fa riferimento all'oggetto applicazione globalmente univoco, che risiede nel tenant home. L'oggetto applicazione definisce l'applicazione a livello globale, mentre il service principal definisce i criteri di accesso e ciò che l'applicazione può fare in un determinato tenant.

Come vengono creati i service principal e quando viene creato un service principal?

Un service principal viene in genere creato automaticamente quando registri un'applicazione in Microsoft Entra e un'istanza dell'applicazione viene usata in un tenant, oppure quando un utente concede il consenso alle autorizzazioni di un'app multi-tenant. Puoi anche crearlo manualmente tramite il portale di Azure, Microsoft Graph o l'automazione, quando l'applicazione viene distribuita in un tenant in cui deve accedere a risorse protette.

Quali sono le best practice per proteggere i service principal in Microsoft Entra?

Proteggi i service principal assegnando autorizzazioni con privilegi minimi, ruotando e proteggendo le credenziali (password e certificati), usando le identità gestite dove possibile, applicando criteri di accesso condizionale, monitorando i log di accesso e di audit ed escludendo i principal ad alto rischio tramite controlli di accesso basati su filtri. Sfrutta i service principal con l'accesso condizionale per richiedere dispositivi conformi o MFA per accedere alle risorse sensibili.

Come gestisco le credenziali, come password e certificati, dei service principal?

Archivia password e certificati in un archivio sicuro (Key Vault), imposta criteri di scadenza, usa l'autenticazione basata su certificato quando possibile e automatizza la rotazione tramite Microsoft Graph o pipeline CI/CD. Per le credenziali a lunga durata, configura avvisi per le scadenze imminenti e applica uno schema e un criterio che impediscano l'uso di segreti obsoleti o non sicuri.

Come posso usare Microsoft Graph per interrogare e gestire le entità di servizio con l'automazione?

Usa l'API di Microsoft Graph per elencare, filtrare, creare, aggiornare e rimuovere gli oggetti entità di servizio di Microsoft Entra ID. Puoi eseguire query con filtri per trovare le entità in base ad appId, displayName o proprietario, gestire le autorizzazioni concesse, assegnare i proprietari e automatizzare la sincronizzazione delle entità di servizio tra i vari ambienti con script o connettori che fanno riferimento agli identificatori univoci globali.

Qual è il ruolo dell'assegnazione dei proprietari e come va gestita la proprietà?

Assegnare dei proprietari significa delegare il controllo amministrativo su un'entità di servizio, consentendo ai proprietari di gestire credenziali e autorizzazioni. Usa l'accesso basato sui ruoli e più proprietari per garantire la continuità operativa, verifica le modifiche ai proprietari tramite audit ed evita di assegnare i diritti di proprietario ad account utente non legati a un'identità a lungo termine; preferisci un team o un account di servizio vincolato da un criterio.

In che modo la sincronizzazione e le considerazioni su tenant o directory influiscono sulle entità di servizio?

Gli scenari di sincronizzazione, come la sincronizzazione di app aziendali o identità tra tenant, possono creare entità di servizio nei tenant di destinazione. Valuta se l'app è single-tenant o multi-tenant, il tenant di origine in cui l'applicazione è stata registrata e se un utente di quel tenant deve concedere il consenso. Pianifica la sincronizzazione per evitare entità di servizio duplicate e usa il filtraggio per escludere gli oggetti non necessari.

Quando conviene usare un'identità gestita invece di un'entità di servizio creata manualmente?

Usa le identità gestite quando il carico di lavoro viene eseguito in Azure e può sfruttare un'identità gestita dalla piattaforma per ottenere token senza credenziali incorporate. Le identità gestite riducono la necessità di gestire password, semplificano gli aggiornamenti di sicurezza e sono l'opzione consigliata per proteggere le entità di servizio negli scenari Microsoft dove supportate.

Come posso verificare e risolvere i problemi di accesso alle risorse protette dalle entità di servizio?

Abilita e controlla i log di accesso e i log di controllo in Microsoft Entra ID e Azure AD, usa Microsoft Graph per recuperare gli eventi, applica filtri per restringere i risultati e integra i log con un SIEM. Per il supporto tecnico o per problemi complessi, raccogli l'objectId e l'appId dell'entità di servizio, i timestamp e i messaggi di errore prima di contattare il supporto oppure consulta Microsoft Learn e altre risorse per guidare l'analisi.