Microsoft Entra External ID: gestione delle identità esterne e dei tenant

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Gestisci le identità esterne con Microsoft Entra: onboarding di partner e ospiti, collaborazione B2B, accesso cross-tenant, Accesso condizionale e verifiche di accesso.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID aiuta le organizzazioni a gestire le identità di clienti, partner e ospiti al di fuori del tenant dei dipendenti. Inizia separando lo scenario di business, definendo il ciclo di vita delle identità e i metodi di accesso, assegnando responsabili chiari e testando i criteri di accesso con utenti rappresentativi. La progettazione delle identità esterne deve considerare fin dall'inizio esperienza utente, sicurezza, governance e costi operativi.

Microsoft Entra External Identities porta il mondo esterno dentro il tuo ecosistema Microsoft 365 in modo sicuro. Se hai partner, fornitori, collaboratori esterni o anche pochi ospiti che devono accedere a Teams o SharePoint, è questo che mantiene tutto fluido e sicuro. Entra permette agli utenti esterni di collaborare come se fossero parte del tuo team, senza mai lasciare la volpe libera nel pollaio.

Per chi lavora in IT significa meno notti insonni a chiedersi chi stia girando nel tuo tenant o quali dati stia esaminando. Microsoft Teams, SharePoint e il resto della famiglia Microsoft 365 diventano ambienti più sicuri in cui tutti possono lavorare insieme. Questa guida spiega passo per passo come implementare, governare e scalare le identità esterne, mantenendo sotto controllo i requisiti di sicurezza e conformità, perché nessuno vuole finire nei titoli dei giornali per una violazione. Per approfondire il valore di solidi meccanismi di protezione della collaborazione, leggi come la governance di Teams trasforma il caos in collaborazione sicura.

7 fatti sorprendenti su Microsoft Entra External Identities

1. Scala enorme per gli accessi di clienti e partner: Entra ID External Identities supporta milioni di utenti esterni e può gestire grandi volumi di accessi dei consumatori grazie al throttling intelligente integrato e all'infrastruttura globale, risultando adatto ad app rivolte ai clienti con traffico elevato.
2. Prezzi a utente attivo: invece della tradizionale licenza per account, Entra ID External Identities offre un modello a consumo basato sugli utenti esterni attivi mensili, che può ridurre sensibilmente i costi per app con molti utenti occasionali.
3. Supporto per provider di identità social e aziendali: puoi consentire agli utenti esterni di accedere con account social (Google, Facebook, Apple) o tramite federazione aziendale (SAML, OpenID Connect, Azure AD), offrendo un'esperienza di accesso flessibile senza scrivere codice di autenticazione personalizzato.
4. Collaborazione cross-tenant con invito e federazione diretta: Entra ID External Identities abilita la collaborazione B2B tramite inviti, federazione diretta o gestione dei diritti (entitlement management), semplificando l'accesso dei partner e mantenendo sicurezza e governance.
5. Accesso condizionale e protezione delle identità integrati: gli utenti esterni possono essere soggetti agli stessi criteri di accesso condizionale, MFA e protezioni basate sul rischio previsti per gli utenti interni, riducendo la superficie di attacco delle identità di clienti e partner.
6. Branding personalizzato e percorsi utente configurabili: usando le funzionalità di Azure AD B2C all'interno di Entra ID External Identities, le organizzazioni possono creare esperienze di registrazione e accesso completamente personalizzate e adattare i percorsi utente per la verifica, il collegamento di account social e la raccolta dei dati del profilo.
7. Integrazione nativa con l'ecosistema Microsoft e le API: Entra ID External Identities si integra con Microsoft Graph, le app di Azure AD, il controllo degli accessi basato sui ruoli e i servizi a valle, consentendo una gestione centralizzata delle identità esterne su applicazioni Microsoft e personalizzate.

Cosa sono le identità esterne in Microsoft Entra

Nel mondo di Microsoft Entra, le identità esterne sono proprio quello che sembrano: account appartenenti a persone che non fanno parte della tua organizzazione. Invece di concedere agli estranei pieno accesso interno (cosa che nessuno vuole), Entra ti permette di far entrare gli utenti esterni a condizioni controllate. Possono essere partner che lavorano a un progetto congiunto, fornitori che supportano i tuoi sistemi IT, freelance che collaborano alla grafica o clienti che accedono a un portale condiviso.

Quindi, cosa rende davvero un'identità "esterna"? In sostanza, è chiunque acceda alle tue app, agli spazi di Teams o ai documenti condivisi usando le proprie credenziali, come l'account aziendale, un account Microsoft o persino un account Google. Gli utenti interni ottengono le identità dalla tua directory. I collaboratori esterni entrano con credenziali emesse da qualcun altro, ma il loro accesso è governato dai tuoi criteri di sicurezza.

Casi d'uso tipici? Pensa a un partner del settore edile che collabora a un progetto in Teams, oppure alla condivisione di documenti riservati in SharePoint con un ente pubblico. Invece di creare un nuovo nome utente e una nuova password per ogni esterno, lo registri come ospite, gestisci le sue autorizzazioni in modo rigoroso e mantieni una chiara separazione tra ciò che è interno e ciò che è esterno. Questo approccio aiuta le organizzazioni a collaborare su larga scala, riduce il carico amministrativo e consente di tenere sotto controllo chi può vedere cosa, quando e perché. Supporta inoltre gli adempimenti di conformità, perché tiene traccia degli accessi esterni e applica fin dall'inizio i controlli di sicurezza.

Con il lavoro moderno che richiede una collaborazione regolare oltre i confini dell'azienda, una solida configurazione delle identità esterne in Microsoft Entra è ormai un must, non un'opzione.

Panoramica di Microsoft Entra External ID e funzionalità principali

Microsoft Entra External ID è la risposta della piattaforma a una collaborazione sicura e scalabile con utenti che non fanno parte della tua organizzazione principale. Immaginalo come il buttafuori all'ingresso: fa entrare gli ospiti giusti, mantiene ordinata la festa e garantisce che nessuno acceda alle aree riservate. Che tu debba ospitare partner, fornitori o clienti in Microsoft Teams o SharePoint, Entra External ID ti aiuta ad accoglierli con i controlli giusti già in essere.

Tra le funzionalità principali ci sono la gestione semplice degli utenti ospiti B2B (business-to-business), l'integrazione con un'ampia gamma di provider di identità e opzioni di autenticazione flessibili. Puoi invitare utenti usando i loro account di lavoro, di scuola o social e personalizzare esattamente il modo in cui accedono alle risorse. Gli utenti esterni non hanno bisogno di un account nuovo: possono usare quello di cui già si fidano, mentre tu definisci i limiti con controlli di accesso e criteri solidi.

Entra External ID non si limita ad aprire la porta, ma la mantiene chiusa secondo le tue specifiche. Ottieni una gestione centralizzata degli utenti tramite l'interfaccia di amministrazione di Microsoft Entra, con controlli avanzati per monitorare, sottoporre ad audit e governare ogni evento di accesso esterno. La piattaforma consente di definire criteri diversi per gli ospiti, controllare a quali spazi di Teams e SharePoint possono accedere e garantire la conformità tramite registrazione e reportistica estese.

Per gli IT pro, il vero vantaggio è che Entra External ID supporta tutto, dall'accesso ospite semplice a scenari avanzati: collaborazione cross-tenant, esperienze utente personalizzate con il proprio brand, criteri personalizzati e flussi di lavoro automatizzati. Questo significa meno gestione manuale degli utenti, condivisione più sicura e governance semplificata man mano che scali progetti e partnership.

Guida all'implementazione delle identità esterne di Microsoft Entra

Implementare le identità esterne di Microsoft Entra significa trovare il giusto equilibrio tra collaborazione e controllo. Questa sezione ti guida a rendere disponibile l'accesso esterno in modo ponderato, così la tua organizzazione resta produttiva e sicura mentre coinvolge collaboratori esterni. Vedrai come Microsoft consente di collegare ospiti e partner con gli strumenti di cui hanno bisogno, mentre tu mantieni il controllo su accesso, autenticazione e applicazione dei criteri.

Il percorso di implementazione introduce concetti come la collaborazione B2B, la configurazione dell'accesso tenant-to-tenant e l'impostazione di una serie di provider di identità, ognuno dei quali ha un ruolo cruciale nel modo in cui registri gli utenti esterni e mantieni ordine. Otterrai anche un quadro del motivo per cui la pianificazione strategica è essenziale: configurare in anticipo inviti, flussi utente e regole cross-tenant significa meno caos, meno proliferazione e risultati più prevedibili in termini di sicurezza e governance.

I passaggi dettagliati che seguono illustrano ciascuna parte principale del processo, dall'invito e gestione degli utenti esterni, alla messa a punto dei provider di identità supportati, fino alla configurazione delle relazioni di fiducia con le organizzazioni partner. L'obiettivo è sempre rendere la collaborazione semplice per gli utenti, ma sicura e tracciabile per i reparti IT e di conformità. Per sfruttare al meglio Entra External Identities, conviene capire i concetti di base prima di passare alla parte pratica delle sezioni successive.

Configurare la collaborazione B2B in Microsoft Entra

1. Aggiungi utenti guest al tuo tenant: Inizia invitando i collaboratori esterni direttamente tramite l'interfaccia di amministrazione di Microsoft Entra o i flussi di lavoro integrati di Microsoft Teams/SharePoint. Puoi inviare gli inviti usando il loro indirizzo email di lavoro, di scuola o personale. Questo processo di onboarding garantisce che ogni utente guest sia registrato, tracciabile e collegato ai tuoi criteri di sicurezza.
2. Configura le impostazioni di invito: Stabilisci chi nella tua organizzazione può invitare guest e quali informazioni sono richieste per gli inviti. Puoi limitare gli inviti a determinati reparti oppure abilitare il self-service per accelerare la collaborazione sui progetti. Conviene definire regole chiare per gli inviti, così da evitare condivisioni accidentali di troppe informazioni.
3. Imposta accesso e autorizzazioni degli utenti: Una volta invitati, assegna gli utenti guest ai gruppi, ai team o ai siti SharePoint giusti. Usa il controllo degli accessi basato sui ruoli (RBAC) per limitare le risorse sensibili e applica impostazioni di condivisione coerenti con le policy aziendali. I controlli granulari ti aiutano a evitare la proliferazione di guest e le esposizioni accidentali.
4. Integra la governance di Teams e SharePoint: Applica criteri di collaborazione che rafforzino gli obiettivi di sicurezza e conformità. Come spiegato in questa guida sulla governance di Teams, standardizzare autorizzazioni, convenzioni di denominazione e criteri del ciclo di vita semplifica la gestione degli guest e riduce i rischi di fuga di dati o confusione.
5. Monitora e gestisci l'accesso nel tempo: Verifica regolarmente chi ha accesso, rimuovi o riduci i privilegi degli utenti che non hanno più bisogno di collaborare e richiedi una nuova approvazione per gli guest a lungo termine. Tenere sotto controllo gli accessi degli guest evita account orfani e mantiene il tuo spazio di lavoro digitale sicuro, come evidenziato nella guida sulla governance di Teams e nelle best practice per la gestione della collaborazione esterna.

Configurare le impostazioni di accesso cross-tenant per le identità esterne

1. Definisci le relazioni di attendibilità: Stabilisci quali organizzazioni esterne di Microsoft Entra (tenant) considerare attendibili per la collaborazione. Questo implica specificare quali tenant possono connettersi e quali tipi di utenti sono ammessi: interni, guest o entrambi. Impostare le relazioni giuste fin dall'inizio pone le basi per una collaborazione sicura e snella.
2. Configura l'accesso in entrata e in uscita: L'accesso in entrata consente agli utenti di tenant esterni di accedere al tuo ambiente. I controlli in uscita regolano quali utenti della tua organizzazione possono accedere alle risorse in altri tenant. Modificando queste impostazioni puoi stabilire con precisione chi può entrare e chi può uscire, riducendo al minimo l'esposizione ai rischi.
3. Controlla le risorse condivise: Assegna criteri che definiscono quali dati e servizi possono essere condivisi oltre i confini del tenant. Controlla l'accesso alle risorse di alto valore, come spazi riservati di Teams o documenti SharePoint, assicurandoti che vi accedano solo utenti esterni debitamente verificati. Così i contenuti sensibili restano lontani da mani sbagliate, anche nelle collaborazioni su larga scala.
4. Sfrutta la sincronizzazione cross-tenant e le API: Per le relazioni continuative, la sincronizzazione cross-tenant e le API di Microsoft Graph consentono di automatizzare la gestione delle identità, dell'appartenenza ai gruppi e degli aggiornamenti utente. Questi strumenti facilitano il supporto a progetti dinamici che coinvolgono più organizzazioni, senza interventi manuali continui.
5. Monitora l'accesso e applica la conformità: Verifica regolarmente gli accessi cross-tenant tramite i log e i report di Entra. Se individui anomalie o connessioni non necessarie, intervieni rapidamente per rafforzare i criteri. Questa attenzione garantisce che l'ecosistema di collaborazione resti solido e difendibile, soprattutto ora che gli audit di conformità sono sempre più frequenti.

Scegliere i provider di identità e le opzioni di autenticazione

1. Collega i tenant di Azure AD: La maggior parte degli utenti B2B esterni proviene dall'Azure AD di un'altra organizzazione. Puoi collegare il loro tenant di appartenenza, consentendo agli utenti di accedere con le proprie credenziali di lavoro, mentre tu imposti localmente autorizzazioni e controlli di accesso. Così si eliminano le password multiple e si preserva la sicurezza di entrambe le parti.
2. Abilita gli account Microsoft (MSA): se vuoi includere persone che usano account Microsoft per uso personale (come Outlook.com), il supporto di Entra per gli MSA apre la porta a un'ampia gamma di collaboratori che non fanno parte di una directory aziendale. È l'ideale per scenari con clienti o cittadini.
3. Aggiungi IdP social e di terze parti: per raggiungere la base di utenti più ampia, collega Entra External ID ai provider di identità social più diffusi, come Google, Facebook o LinkedIn. Il supporto a SAML e OpenID Connect ti permette di integrarti anche con provider di identità personalizzati o legacy, fondamentali per i partner esterni che usano infrastrutture non Microsoft.
4. Seleziona i requisiti di autenticazione: per ogni IdP puoi aggiungere l'autenticazione a più fattori (MFA), criteri di conformità dei dispositivi o passcode monouso. Un'autenticazione forte aumenta la fiducia e mantiene le porte chiuse anche se la password di un utente esterno viene compromessa.
5. Personalizza l'esperienza utente: adatta i flussi di registrazione e accesso, il branding e le richieste di consenso, così gli utenti esterni vedono lo stile della tua azienda e comprendono le aspettative di sicurezza fin dal primo clic. Un'esperienza di autenticazione fluida riduce gli attriti e il numero di ticket al service desk, mentre controlli rigorosi continuano a mantenere ben chiuso il perimetro.

Configurazione avanzata e personalizzazione per le identità esterne di Entra

Una volta padroneggiate le basi, è il momento di dare spazio alla creatività. Le opzioni di configurazione avanzate in Microsoft Entra External Identities permettono alle organizzazioni di andare oltre il semplice onboarding degli ospiti e di orchestrare esperienze utente esterne personalizzate, sicure e automatizzate. È qui che si aggiunge la cura necessaria a far sembrare la collaborazione esterna una parte naturale del business, senza rinunciare al controllo.

Pensa a scenari in cui desideri una pagina di accesso personalizzata, criteri specifici basati sul rischio o sulla posizione geografica, oppure domande di onboarding particolari per determinati tipi di partner. Forse il tuo responsabile della conformità vuole un controllo più stretto sui file a cui possono accedere gli ospiti, oppure ti servono flussi utente diversi per i clienti e per i fornitori. Le possibilità sono davvero ampie quando ti addentri nei criteri personalizzati e nella gestione dei flussi utente.

E se punti a un'efficienza e una scalabilità reali, Microsoft Graph API apre un mondo di automazione. Inviti in blocco, assegnazioni dinamiche ai gruppi o persino l'integrazione delle richieste di accesso con i sistemi di ticketing interni: tutto questo è alla portata con le personalizzazioni avanzate.

Nei prossimi passaggi vedrai, passo dopo passo, come i team IT possono plasmare il percorso delle identità esterne e mantenere una governance di alto livello, anche quando le esigenze di business evolvono o diventano più complesse.

Gestione dei criteri personalizzati e dei flussi utente per gli utenti esterni

1. Progetta esperienze personalizzate di registrazione e accesso: usa i flussi utente per raccogliere informazioni specifiche dagli utenti esterni durante la registrazione, aggiungere il branding dell'organizzazione e richiedere un consenso esplicito ai termini di servizio. Questa personalizzazione garantisce che la prima impressione di ogni utente, che sia ospite, partner o cliente, sia coerente con il tuo brand e con le esigenze di conformità.
2. Implementa controlli di accesso basati su criteri: crea e assegna criteri che regolano il modo in cui gli utenti esterni interagiscono con le tue risorse. Ad esempio, potresti richiedere l'MFA per le azioni ad alto rischio, limitare l'accesso ai file sensibili in base al tipo di utente o al progetto, oppure inserire in una lista di elementi consentiti i domini autorizzati alla collaborazione.
3. Definisci attributi e claim: raccogli le informazioni di cui hai bisogno dagli utenti esterni durante l'onboarding, come il nome dell'azienda, il reparto o il codice progetto, e poi costruisci criteri e regole di accesso basati su tali claim. In questo modo puoi affinare le autorizzazioni di accesso e la reportistica, e supportare requisiti condizionali di privacy o conformità.
4. Testa e itera la pubblicazione dei criteri: visualizza in anteprima i flussi utente in ambienti sandbox, quindi distribuisci gli aggiornamenti in produzione. Man mano che la collaborazione esterna evolve, rivedi regolarmente le configurazioni dei criteri per chiudere le lacune di sicurezza, semplificare i processi complessi o allinearli ai requisiti normativi in continua evoluzione.
5. Gestisci il ciclo di vita e la disattivazione: imposta date di scadenza automatiche per l'accesso degli ospiti, limita la visibilità delle risorse in base allo stato dell'utente e usa i trigger dei criteri per avviare revisioni o rimozioni al termine dei progetti. Questo tipo di gestione proattiva riduce i rischi e allinea la gestione degli ospiti alle best practice di conformità e governance.

Utilizzo di Microsoft Graph API per gestire le identità esterne

1. Automatizza inviti e onboarding degli ospiti: usa Microsoft Graph API per scriptare il processo di invito degli utenti esterni, raccolta dell'approvazione dai responsabili delle risorse e aggiunta degli ospiti ai gruppi o ai team appropriati. Questo riduce il lavoro manuale, accelera la collaborazione e crea un flusso di lavoro ripetibile e resistente agli errori.
2. Gestisci le assegnazioni di gruppi e risorse: con Graph API puoi assegnare (o rimuovere) in blocco utenti esterni da siti SharePoint, team o altre applicazioni. Questo è particolarmente utile in ambienti di progetto dinamici o per i partner che hanno bisogno di accesso rapido e temporaneo a diverse risorse.
3. Monitora l'attività e applica la governance: tieni traccia automaticamente dell'attività degli utenti esterni (accessi, eventi di accesso o modifiche) e invia avvisi o attiva azioni in base a regole predefinite. L'integrazione con Power Platform o Power BI, come illustrato in questa guida su come domare la proliferazione di Teams, rende l'automazione del ciclo di vita e il controllo più semplici che mai.
4. Integra strumenti di ticketing e conformità: collega i flussi di invito, le catene di approvazione e la gestione del ciclo di vita con sistemi ITSM o di conformità di terze parti. Graph API permette a Entra di integrarsi con la tua strategia più ampia di automazione e workflow, facendo lavorare tutti i tuoi strumenti in armonia.
5. Imponi revisioni periodiche e automatizza l'offboarding: configura script che sollecitano i responsabili a rivedere regolarmente l'accesso degli ospiti, segnalano gli account inattivi da deprovisionare e gestiscono la rimozione sicura e i criteri di conservazione dei dati. Con l'automazione basata su API riduci il rischio e assicuri che le identità esterne non restino più del necessario.

Sicurezza e gestione degli accessi per Microsoft Entra External Identities

Aprire la porta digitale a ospiti, partner e fornitori può aumentare la produttività, ma solo se si definiscono le giuste protezioni. Gestire correttamente l'accesso esterno in Microsoft Entra significa stratificare i controlli di sicurezza, così da non barattare mai la comodità con il rischio, che tu stia condividendo informazioni sensibili in Teams o collaborando sui documenti in SharePoint.

Questa parte della guida approfondisce questi livelli di sicurezza, concentrandosi su come criteri strategici, come l'accesso condizionale e l'autenticazione a più fattori, alzino il livello di protezione per gli utenti esterni. L'accesso condizionale è il punto in cui dici: «Certo, puoi entrare, ma queste sono le mie regole di casa». Gli standard di conformità dei dispositivi garantiscono che, anche quando il laptop di un utente proviene dall'esterno della rete, rispetti i requisiti prima di accedere ai tuoi dati.

Con il costante aumento delle violazioni legate all'accesso di partner e collaboratori esterni, non puoi permetterti di trascurare nulla. Le sezioni seguenti ti guidano attraverso gli strumenti principali e i passaggi di configurazione per proteggere la collaborazione, prevenire fughe accidentali di dati e superare con successo gli audit di conformità. Vuoi una panoramica più ampia sulla sicurezza multilivello di Teams? Non perdere il podcast sull'hardening della sicurezza di Teams, che illustra strategie di protezione a cinque livelli per la collaborazione con ospiti e partner.

Configurazione dei criteri di accesso condizionale per utenti esterni

1. Parti dai modelli di criteri per la collaborazione esterna: Microsoft Entra offre modelli di accesso condizionale predefiniti, pensati specificamente per utenti B2B e ospiti. Questi modelli permettono di impostare rapidamente requisiti come l'applicazione dell'MFA, le condizioni di rischio di accesso o il blocco dell'autenticazione legacy per gli utenti esterni.
2. Configura ambito e assegnazione dei criteri: applica i criteri di accesso condizionale ai gruppi di utenti giusti, come «Ospiti e utenti esterni», e limita le loro possibilità in base alla sensibilità delle risorse o agli scenari di business. Ad esempio, potresti richiedere controlli più severi per l'accesso dei collaboratori esterni ai dati finanziari rispetto all'accesso ai team di progetto generici.
3. Definisci condizioni di accesso granulari: crea regole basate su fattori come il punteggio di rischio di accesso, lo stato di conformità del dispositivo, la posizione di rete o i controlli di sessione. Questo ti permette di rafforzare la sicurezza in situazioni ad alto rischio (ad esempio bloccando l'accesso da dispositivi non gestiti) senza penalizzare partner fidati a basso rischio.
4. Testa e monitora l'impatto dei criteri: Usa lo strumento "what if" e gli strumenti di reporting di Entra per vedere in anteprima gli effetti prima di distribuire le modifiche a tutti gli utenti. Monitora in modo continuo i tentativi di accesso esterni e adatta i criteri in base all'attività reale, riducendo l'attrito e chiudendo rapidamente eventuali nuovi rischi. Per altre idee, leggi come Copilot applica l'accesso con privilegi minimi e il monitoraggio continuo.
5. Rispondi tempestivamente alle violazioni dei criteri: Configura avvisi automatici e passaggi di rimedio se gli utenti esterni attivano le regole di sicurezza, come la revoca immediata della sessione o una verifica dell'identità aggiuntiva. Questo chiude il cerchio tra applicazione dei criteri e risposta rapida agli incidenti, preservando l'integrità del tuo ambiente.

Autenticazione a più fattori e conformità dei dispositivi per l'accesso esterno

L'autenticazione a più fattori (MFA) aggiunge una barriera fondamentale per gli utenti esterni che cercano di accedere al tuo ambiente Microsoft. Richiedendo una seconda forma di verifica, come un codice inviato al telefono, l'MFA rende molto più difficile che le credenziali rubate causino danni. I controlli di conformità del dispositivo aggiungono un ulteriore livello, garantendo che solo dispositivi attendibili e conformi ai criteri possano connettersi ai dati sensibili. Per una difesa ottimale, abilita l'MFA per impostazione predefinita per tutte le identità esterne e richiedi i controlli di integrità del dispositivo per gli scenari di accesso a rischio più elevato in Entra. Insieme, queste strategie riducono drasticamente l'esposizione al furto di credenziali e al malware.

Prezzi e fatturazione di Microsoft Entra External Identities spiegati

Parlano i soldi, e quando si tratta di Microsoft Entra External Identities, comprendere il modello di costo può evitare sorprese al budget IT. Entra basa i prezzi sul numero di utenti esterni unici (guest, partner o contatti B2B) che effettuano l'accesso ogni mese. Questa metrica è nota come Monthly Active Users (MAU) ed è progettata per crescere insieme alla collaborazione.

Conoscere il funzionamento di questo modello di fatturazione è fondamentale per i responsabili IT e per chi pianifica le finanze. Influenza non solo il modo in cui fai il budget, ma anche come strutturi l'onboarding, l'offboarding e le revisioni periodiche degli accessi. Più efficacemente gestisci l'accesso esterno, più prevedibili (ed eventualmente più bassi) saranno i tuoi costi mensili. Ciò significa che comprendere i picchi di utilizzo, i progetti stagionali o gli account inattivi è ormai una questione che incide direttamente sul bilancio.

Quando le organizzazioni aprono Microsoft Teams, SharePoint e altre risorse di 365 a stakeholder esterni, è saggio tenere sotto controllo le licenze e il numero di utenti. La panoramica dettagliata che segue illustra le soglie per fascia di utenti, l'accesso gratuito rispetto a quello fatturabile e suggerimenti per ottimizzare la collaborazione senza sforare il budget. Per un approfondimento su come massimizzare il valore delle licenze, ti sarà utile la guida sulle licenze di Microsoft Copilot: la stessa logica vale per la pianificazione dei costi delle identità Entra.

Modello di prezzo di External Identities e Monthly Active Users

1. Comprendi il modello Monthly Active User (MAU): Microsoft Entra External Identities tiene traccia del numero di utenti esterni unici che accedono al tenant durante un mese di calendario. Ogni guest viene conteggiato una sola volta al mese, indipendentemente da quante volte accede alle risorse.
2. Sfrutta il livello gratuito: Microsoft offre un numero prestabilito di MAU gratuiti (in genere 50.000, ma verifica i dettagli della tua sottoscrizione). Sono spesso sufficienti per organizzazioni piccole o medie, o per progetti pilota con esigenze limitate di collaborazione esterna.
3. Monitora gli utenti fatturabili rispetto alle soglie: Una volta superato il numero di MAU gratuiti, ogni utente attivo aggiuntivo genera un costo per utente. Soglie di licenza e prezzi possono cambiare, quindi controlla regolarmente la documentazione Microsoft più recente per evitare sorprese di budget.
4. Stima e ottimizza le spese: Usa gli strumenti di reporting di Entra per monitorare l'attività degli utenti esterni, individuare gli account inattivi e ripulire gli accessi per restare nel livello gratuito o ridurre al minimo gli utenti fatturati. La disattivazione automatica degli accessi (offboarding) e le revisioni periodiche degli accessi sono in questo caso i tuoi migliori alleati.
5. Considera gli scenari particolari: Gli ospiti B2B esterni che usano funzionalità premium o controlli di sicurezza avanzati (come Accesso condizionale o Identity Protection) potrebbero richiedere licenze aggiuntive. Pianifica i progetti di collaborazione di conseguenza: come con la governance delle licenze di Copilot, assegnazioni accurate riducono i costi superflui e ti mantengono conforme.

Automatizzare le verifiche di accesso per la governance degli utenti esterni

Se vuoi tenere aperte le porte digitali agli utenti esterni senza lasciarle spalancate per sempre, le verifiche di accesso automatizzate sono la tua ancora di salvezza. Con l'espansione della collaborazione B2B e con gli ospiti, capire chi ha ancora bisogno di accesso, chi è inattivo e chi è sfuggito al controllo diventa troppo complesso per le checklist mensili in Excel. L'automazione mette ordine in questo caos, facendoti risparmiare tempo e grattacapi.

Le verifiche di accesso in Microsoft Entra External ID ti permettono di pianificare controlli periodici basati sui criteri sugli account esterni. Puoi assegnare la responsabilità delle verifiche (responsabili di progetto, amministratori IT o responsabili di business) e chiedere loro di confermare l'effettiva necessità di accesso di ogni ospite. L'obiettivo? Individuare gli account obsoleti o orfani prima che diventino un rischio per la sicurezza o un incubo per la conformità.

Nei prossimi paragrafi vedremo la gestione del ciclo di vita, il processo di disattivazione e come integrare le verifiche automatizzate nella strategia di governance complessiva. Per capire come una governance solida possa trasformare il caos in fiducia, consulta questa risorsa su i framework di governance e collaborazione di Teams: molti dei principi che vi troverai valgono anche per le identità esterne.

Gestione del ciclo di vita per la disattivazione delle identità esterne

1. Individua gli account inattivi o orfani: Pianifica audit periodici o scansioni automatizzate per trovare gli utenti esterni che non accedono alle risorse da un periodo definito. Gli account dormienti possono diventare porte aperte per problemi di sicurezza se non vengono eliminati rapidamente.
2. Automatizza le procedure di rimozione: Configura in Entra i criteri che fanno scadere automaticamente l'accesso degli ospiti dopo periodi stabiliti (ad esempio 60 giorni di inattività) o al termine del progetto. Usa script o Graph API per rimuovere in blocco gli utenti che non soddisfano più i requisiti per l'accesso continuo.
3. Notifica e conferma con i responsabili delle risorse: Durante la deprovisioning, avvisa i responsabili di progetto o i team leader affinché abbiano la possibilità di verificare e contestare le rimozioni che potrebbero interrompere collaborazioni legittime. Un doppio controllo aiuta a trovare il giusto equilibrio tra sicurezza e produttività.
4. Definisci i criteri di conservazione dei dati e di conformità: Stabilisci cosa succede a contenuti condivisi, cronologie delle chat o file di proprietà di utenti esterni dopo la disattivazione. Definisci procedure per trasferire la proprietà, archiviare o eliminare i dati in base alle esigenze normative e di governance.
5. Documenta i processi di disattivazione per gli audit: Conserva le registrazioni di tutti gli account disattivati, delle azioni di rimozione e delle configurazioni dei criteri che hanno determinato tali azioni. Questa documentazione sarà preziosa durante le verifiche di conformità e nella risposta alle richieste normative.

Integrare Microsoft Entra External ID con applicazioni non Microsoft

Diciamo che il tuo ambiente tecnologico non è solo Microsoft 365: magari hai un CRM, un portale interno legacy o un paio di piattaforme SaaS. Microsoft Entra External ID non si limita al perimetro Microsoft. Puoi estendere il suo approccio sicuro e basato sui criteri a quasi qualsiasi sistema esterno, rendendo la gestione delle identità fluida in tutto l'ambiente.

Che tu lavori con app cloud, piattaforme on-premises o ambienti ibridi, Entra può fungere da ponte di identità sicuro. Le integrazioni con SAML, OAuth e OpenID Connect ti permettono di federare identità e autenticazione verso Salesforce, ServiceNow, vecchie app Java o praticamente qualsiasi sistema con supporto di accesso basato su standard.

Questo approccio semplifica la gestione di partner, clienti e fornitori con un'unica identità esterna per tutte le applicazioni: niente più stanchezza da password né onboarding manuale infinito. Nella prossima sezione vedrai come definire pattern di federazione sicuri e proteggere le API quando apri i sistemi a utenti esterni.

Pattern di federazione e sicurezza delle API esterne

• SAML/WS-Federation per l'integrazione di app legacy: Collega Entra External ID ad app interne o di partner più datate che usano SAML o WS-Fed, così gli utenti esterni possono accedere con le stesse credenziali che usano per Teams o SharePoint. Questo semplifica l'onboarding degli utenti esterni e riduce la proliferazione delle password.
• OpenID Connect/OAuth per SaaS e app web: Estendi l'autenticazione di Entra alle app cloud moderne o ai portali personalizzati. Gli utenti esterni ottengono il single sign-on, con sopra i tuoi criteri di sicurezza e conformità, indipendentemente dalla piattaforma.
• Sicurezza delle API con OAuth2 e gestione dei token: Quando esponi API ai partner esterni, usa OAuth2 con i token di accesso emessi da Entra. Applica ambiti, scadenze e revoca dei token per mantenere le integrazioni con i partner sotto controllo e verificabili.
• Pattern di federazione multi-cloud e ibridi: Usa Entra come ancora di fiducia per gli utenti provenienti da AWS, Google o directory locali. La federazione ti permette di gestire criteri, report e verifiche degli accessi da un unico hub centrale, anche quando le applicazioni si trovano altrove.
• Monitora e limita l'utilizzo delle API: Per le API esposte pubblicamente, implementa la limitazione della frequenza delle richieste e la registrazione degli accessi. Questo protegge dagli abusi, supporta la conformità e ti offre una traccia di audit chiara in caso di controversie o indagini.

Conformità e privacy per le identità esterne

Portare le identità esterne nel tuo mondo Microsoft 365 significa dover rispondere di molto più della semplice condivisione di file: sei responsabile anche della conformità normativa e della privacy. Che si tratti del GDPR, del CCPA o di un regolamento specifico del settore, Entra External ID offre i controlli e i report necessari per dimostrare alle autorità di vigilanza che gestisci l'accesso esterno in modo responsabile e rispettoso.

Questa sezione prepara il terreno per le impostazioni della privacy, la gestione del consenso e la trasparenza in ogni rapporto con gli utenti. Vedrai come raccogliere e gestire il consenso degli utenti esterni, configurare gli avvisi sulla privacy e rispettare i diritti degli interessati quando vogliono sapere, o controllare, quali informazioni conserви. Con l'inasprirsi degli standard di conformità in tutto il mondo, avere queste funzionalità integrate non è un optional: è obbligatorio.

Una configurazione di conformità corretta ti evita di essere colto alla sprovvista da nuove leggi o di brancolare nel buio davanti alle richieste degli interessati. Per le organizzazioni che usano Microsoft Copilot o altri strumenti di IA, ci sono utili sovrapposizioni nei controlli della privacy e nei meccanismi di consenso, come illustrato in questo approfondimento sul framework di privacy dei dati di Copilot. Ora ci concentriamo sull'impostazione delle tracce di audit e di report solidi per tutti gli accessi degli utenti esterni.

Tracce di audit e report per l'accesso esterno

1. Attiva la registrazione dettagliata degli accessi: Abilita il logging per tutte le attività degli utenti esterni, inclusi accessi, condivisione di risorse e modifiche alle autorizzazioni. Log completi ti danno un quadro preciso di chi ha fatto cosa, quando e da dove.
2. Configura il monitoraggio in tempo reale e gli avvisi: Imposta avvisi per comportamenti di accesso esterni insoliti o rischiosi. Questo consente una risposta rapida a eventi sospetti, come tentativi di accesso falliti o accessi da posizioni sconosciute.
3. Distribuisci dashboard di report: Usa l'interfaccia di amministrazione di Entra o strumenti integrati (come Power BI) per estrarre report sull'attività degli utenti esterni, mostrando la conformità a colpo d'occhio per audit o per i dirigenti.
4. Soddisfa le richieste normative con l'esportazione dei dati: Conserva log pronti per l'esportazione e report periodici a supporto dei requisiti del GDPR, del CCPA o di normative di settore. Quando un'autorità di vigilanza o un cliente ti chiede conto, avrai la prova della tua attenzione alla sicurezza e della tua governance operativa.

Checklist per le identità esterne di Microsoft Entra

Funzionalità di Microsoft Entra External: capacità di tenant e di External ID di Microsoft Entra

Che cos'è Entra ID External Identities e in che rapporto è con Azure AD External Identities?

Entra ID External Identities (in precedenza Azure AD External Identities) è un insieme di funzionalità di Microsoft Entra che consente alle organizzazioni di concedere agli utenti e alle organizzazioni esterne un accesso sicuro alle proprie risorse. Supporta la gestione delle identità e degli accessi dei clienti, le funzionalità di external id e gli scenari di tenant external id, così le aziende possono collaborare con partner commerciali, fornitori e clienti esterni applicando la gestione di identità e accessi per gli utenti esterni.

Come gestisco l'accesso per gli utenti esterni e i tenant esterni?

Gestisci l'accesso per gli utenti esterni invitandoli tramite la collaborazione B2B di Azure AD, configurando la collaborazione con criteri per utenti esterni e usando funzionalità di Microsoft Entra come l'accesso condizionale per gli utenti esterni, la gestione dei diritti e i pacchetti di accesso. Puoi aggiungere organizzazioni esterne, configurare le impostazioni di collaborazione esterna nel tuo tenant di Microsoft Entra e usare le impostazioni di External ID per controllare le autorizzazioni e il ciclo di vita degli account guest.

Posso consentire agli utenti esterni di usare i propri account di Microsoft Entra o altre identità social?

Sì. Microsoft Entra External ID combina soluzioni potenti che consentono agli utenti esterni di accedere con i propri account di Microsoft Entra, identità social o account locali. Usando Microsoft Entra ID o Azure AD B2C, puoi supportare l'uso dei loro account di Microsoft Entra, abilitare la gestione delle identità e degli accessi dei clienti e offrire opzioni di autenticazione flessibili per gli utenti esterni su larga scala.

Come proteggo l'accesso esterno e considero attendibile MFA per gli utenti guest?

Proteggi l'accesso esterno applicando criteri di accesso condizionale per B2B esterno, abilitando l'attendibilità di MFA (autenticazione a più fattori) per le operazioni ad alto rischio e applicando criteri per la collaborazione B2B esterna. Puoi richiedere MFA per gli utenti esterni, considerare attendibile MFA dai tenant partner e usare l'accesso condizionale e la protezione delle identità di Microsoft Entra per ridurre il rischio, consentendo al contempo la collaborazione esterna.

Quali sono le funzionalità di External ID che aiutano con la governance e la gestione del ciclo di vita?

Le funzionalità di External ID includono la gestione dei diritti, i pacchetti di accesso, il ciclo di vita automatizzato degli utenti guest, le revisioni dell'accesso e i criteri per la collaborazione B2B esterna. Queste funzionalità di Microsoft Entra External ID consentono agli amministratori di governare chi ha accesso, gestire la scadenza dell'accesso e automatizzare le revisioni per garantire un accesso sicuro e la conformità per gli utenti e le organizzazioni esterne.

In che modo gli scenari di tenant per la forza lavoro e di tenant esterni differiscono in Microsoft Entra?

Un tenant per la forza lavoro ospita in genere le identità dei dipendenti e applica criteri interni, mentre un tenant esterno è usato per utenti esterni, partner o clienti. Microsoft Entra External ID supporta tenant per la forza lavoro ed esterni consentendo la collaborazione cross-tenant, configurando le impostazioni di collaborazione esterna e differenziando i criteri, così puoi gestire separatamente l'accesso della forza lavoro interna dalla collaborazione con i partner esterni.

Posso collaborare con partner commerciali esterni in più organizzazioni di Microsoft Entra?

Sì. Microsoft Entra supporta la collaborazione con organizzazioni esterne e il lavoro con partner esterni su più tenant. Funzionalità come le identità esterne di Azure AD, le impostazioni di accesso cross-tenant e l'accesso condizionale per gli utenti esterni facilitano la collaborazione con altre organizzazioni di Microsoft Entra e garantiscono un accesso sicuro a Microsoft 365 e ad altre risorse.

In che modo Microsoft Entra gestisce la scalabilità per gli utenti esterni e l'onboarding automatizzato?

Microsoft Entra External ID offre scalabilità per gli utenti esterni supportando inviti in blocco, registrazione self-service e integrazione con i sistemi di gestione delle identità e degli accessi dei clienti. Usando le funzionalità del tenant External ID, puoi automatizzare l'onboarding, usare pacchetti di accesso per criteri di accesso coerenti e gestire gli utenti esterni su larga scala con funzionalità di audit e reporting.

Quali sono le best practice per configurare la collaborazione esterna e i criteri di accesso?

Le best practice includono l'uso dell'accesso condizionale per gli utenti esterni, l'abilitazione dell'attendibilità di MFA, la configurazione delle impostazioni di collaborazione esterna per limitare i privilegi degli utenti guest, l'uso della gestione dei diritti di Microsoft Entra per il ciclo di vita degli accessi e il monitoraggio delle attività esterne. Combina le funzionalità di External ID con criteri di accesso rigorosi per la collaborazione B2B esterna, così da garantire un accesso esterno sicuro e al tempo stesso la collaborazione con i partner commerciali esterni.

Che cos'è Entra ID External Identities e in che rapporto è con Azure Active Directory?

Entra ID External Identities è la soluzione di Microsoft per gestire utenti esterni e partner che hanno bisogno di accedere in modo sicuro alle tue risorse. Fa parte di Microsoft Entra e si basa sul modello legacy Azure Active Directory, abilitando la collaborazione B2B con external id, le identità social come Google o Facebook e gli scenari di federazione. Entra ID External Identities si integra con le funzionalità di Azure Active Directory come l'accesso condizionale e la governance per garantire un accesso sicuro alla tua organizzazione.

Qual è la differenza tra la collaborazione B2B con external id e i collaboratori esterni individuali?

La collaborazione B2B con External ID si riferisce in genere all'invito di utenti da altre organizzazioni Microsoft Entra e tra tenant, che collaborano usando i propri account aziendali o gestiti. I collaboratori esterni individuali usano spesso identità di consumatori o social, come Google, per accedere. Entrambi i modelli consentono la collaborazione con utenti esterni, ma B2B mantiene l'ospite in un tenant Microsoft Entra che contiene i tuoi dipendenti, preservando la sua identità organizzativa e le relative attestazioni provenienti da altri provider di identità Microsoft o federati.

Posso usare identità come Google o Facebook e altre identità social per l'accesso degli ospiti?

Sì, Entra ID External Identities supporta identità social come Google e Facebook, così gli utenti possono accedere con queste identità. Le identità social sono supportate per l'automazione tramite le API di Microsoft Graph e possono essere configurate nell'portale di Azure, nelle impostazioni di collaborazione esterna. L'accesso con identità social semplifica l'onboarding di partner e collaboratori esterni che non hanno account Azure AD aziendali.

Come funziona la fatturazione? Qual è il modello di fatturazione di Microsoft Entra External Identities?

Il modello di fatturazione di Microsoft Entra External Identities usa in genere un modello a consumo per gli utenti esterni, con livelli diversi in base alle funzionalità e agli utenti attivi mensili. Microsoft pubblica i dettagli del modello di fatturazione per l'utilizzo di Microsoft Entra esterno; controlla l'abbonamento e il portale di Azure per i prezzi aggiornati. In alcuni scenari, le funzionalità possono sovrapporsi a quelle di Azure AD B2C, che resta disponibile per le esperienze di identità rivolte ai clienti con il proprio listino prezzi.

Quali funzionalità di governance e conformità sono disponibili (governance e attestazioni conformi di Entra ID)?

Le funzionalità di governance di Entra ID per le identità esterne includono la gestione dei diritti, le revisioni dell'accesso e l'automazione del ciclo di vita, per garantire che le attestazioni conformi e i criteri di Microsoft Entra siano applicati. Le attestazioni provenienti da altri tenant Microsoft e da provider di identità esterni possono essere mappate e trasformate per rispettare i tuoi criteri di conformità. Entra ID governance aiuta a gestire chi ha accesso, se e a quali risorse Microsoft possono accedere gli ospiti, e garantisce un accesso sicuro alla tua organizzazione mantenendo i requisiti di audit e normativi.

Come configuro le impostazioni di collaborazione esterna e gestisco la collaborazione con altri tenant Microsoft?

Le impostazioni di collaborazione esterna si configurano nel portale di Azure, dove puoi impostare i criteri di invito, le autorizzazioni predefinite degli utenti e le restrizioni per gli utenti esterni. Per gestire la collaborazione con altre organizzazioni Microsoft e tra tenant, usa le funzionalità di collaborazione B2B di Azure AD per accettare utenti da un tenant Microsoft Entra che contiene dipendenti dei partner, impostare l'accesso condizionale e applicare i controlli di governance. L'automazione tramite le API di Microsoft Graph può aiutarti ad automatizzare inviti, provisioning e gestione del ciclo di vita.

I dispositivi aggiunti in modalità ibrida a Microsoft Entra e l'accesso condizionale di Microsoft Entra sono supportati per gli utenti esterni?

I criteri di accesso condizionale di Microsoft Entra possono essere applicati agli utenti esterni per controllare l'accesso in base al rischio, alla conformità del dispositivo o alla posizione di rete. Tuttavia, gli scenari di dispositivi aggiunti in modalità ibrida a Microsoft Entra riguardano principalmente i dispositivi di proprietà aziendale nel tuo tenant; i collaboratori esterni individuali di solito non registrano i dispositivi come aggiunti in modalità ibrida. Puoi richiedere dispositivi conformi o aggiunti in modalità ibrida per gli account delle organizzazioni partner, se sono gestiti in un tenant che contiene i dispositivi dell'organizzazione esterna e considera attendibili i tuoi criteri.

Come aiuta l'automazione tramite le API di Microsoft Graph a gestire le identità esterne?

L'automazione tramite le API di Microsoft Graph consente di gestire in modo programmatico inviti, ciclo di vita degli utenti ospiti, appartenenza ai gruppi e gestione dei diritti per le funzionalità di external ID. Molte funzionalità di ID sono supportate anche tramite Graph API, e questo permette di integrare gli strumenti esistenti di identity governance o IAM per automatizzare flussi di lavoro come provisioning, deprovisioning, revisioni degli accessi e reporting per gli utenti di qualsiasi tenant di Microsoft Entra.

Per le app rivolte ai clienti conviene usare Azure AD B2C o Entra ID External Identities?

Azure AD B2C è pensato per le applicazioni rivolte ai consumatori, con ampie possibilità di personalizzazione dei percorsi utente e dei provider social, mentre Entra ID External Identities e Azure AD B2B collaboration sono ottimizzati per la collaborazione con utenti esterni e partner della forza lavoro. Azure AD B2C resta disponibile per gli scenari che richiedono flussi avanzati per i consumatori. Valuta se il tuo scenario riguarda la collaborazione con utenti esterni o la gestione delle identità dei clienti, così da scegliere il tenant external ID e il modello corretti per le implementazioni di Microsoft Entra external.

Quali sono le best practice per proteggere la collaborazione con utenti esterni usando diverse tecnologie di Microsoft Entra?

Le best practice includono l'uso dell'accesso con privilegi minimi e della gestione dei diritti, l'applicazione dei criteri di accesso condizionale di Microsoft Entra per i controlli di accesso basati sul rischio, l'abilitazione dell'autenticazione a più fattori per gli account esterni, il monitoraggio dei claim provenienti da altre fonti Microsoft e il controllo degli accessi degli ospiti. Usa le funzionalità di governance di Microsoft Entra per pianificare le revisioni degli accessi, automatizzare le attività del ciclo di vita con le API di Graph e centralizzare le impostazioni nel portale di Azure, così da garantire un accesso sicuro alla tua organizzazione quando collabori con tenant esterni e singoli collaboratori esterni.

Microsoft Entra External ID: decisioni di implementazione

Verifica le scelte di piattaforma attuali nella documentazione Microsoft Learn per External ID. Una migrazione da Azure AD B2C richiede un piano ponderato: identificatori del tenant, URL di autorità, configurazione delle applicazioni e percorsi utente vanno valutati e nonવ dati per scontati, perché non si spostano automaticamente.

Domande frequenti

Microsoft Entra External ID è pensato solo per i clienti?

No. Supporta scenari di identità esterne, inclusi le applicazioni rivolte ai clienti e i modelli di collaborazione con persone che non fanno parte del tenant della forza lavoro.

Cosa va documentato prima di abilitare gli utenti esterni?

Documenta il responsabile di business, la popolazione di utenti, lo scopo dell'applicazione, i metodi di accesso supportati, il processo di revisione degli accessi e il percorso di supporto.

Ultima revisione: luglio 2026.

🎧 Ascolta anche

• Identity Governance in Microsoft Entra

  Scopri il ciclo di vita, la proprietà e le pratiche di revisione che rendono sostenibile Microsoft Entra External ID.

• Microsoft Entra Private Access – Simply Explained

  Esplora un altro modello di accesso di Entra e le domande di architettura alla base dei servizi di identità sicuri.

• Accesso condizionale per gli ospiti in Microsoft Entra ID

  Collega la pianificazione delle identità esterne ai controlli di sicurezza pratici per l'accesso di ospiti e partner.