Microsoft Entra ID spiegato: la base dell'identità per Microsoft 365 e Azure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

Scopri Microsoft Entra ID, precedentemente noto come Azure AD: utenti, gruppi, app, SSO, MFA, accesso condizionale e gestione delle identità in Microsoft 365 e Azure.

Automatically translated with AI from the original post. Read the English original

Bentornati, ascoltatori e lettori, a un altro approfondimento sul mondo dell'infrastruttura cloud e della sicurezza aziendale. Nell'ultimo episodio del podcast abbiamo affrontato uno dei temi più critici dell'IT moderno: la gestione delle identità e degli accessi. In particolare, ci siamo concentrati su Microsoft Entra ID, precedentemente noto come Azure Active Directory (Azure AD), e sul ruolo che svolge come fondamento assoluto di tutto ciò che fai in Microsoft 365, Azure e in migliaia di applicazioni SaaS (software as a service) esterne.

Se lavori nel settore IT da un po' di tempo, probabilmente ricordi quando l'identità era legata a un server fisico in una sala server, con Windows Server Active Directory. Quando le organizzazioni hanno iniziato a migrare nel cloud, questo paradigma è cambiato completamente. La sicurezza basata sul perimetro è diventata obsoleta quasi da un giorno all'altro. Oggi il perimetro di rete non è più definito da firewall e indirizzi IP, ma dall'identità. Microsoft Entra ID è il regista di questo nuovo perimetro. In questo articolo di approfondimento, che accompagna l'episodio, approfondiremo i concetti chiave discussi nello show, analizzando utenti, gruppi, gestione delle applicazioni, meccanismi di autenticazione e governance, così da poter proteggere e ottimizzare l'ambiente cloud della tua organizzazione.

Introduzione a Microsoft Entra ID e alla gestione moderna delle identità

Per capire davvero Microsoft Entra ID, dobbiamo prima comprendere la filosofia della gestione moderna delle identità. Nell'era dell'infrastruttura on-premise, gli utenti accedevano a un computer aggiunto al dominio e collegato fisicamente alla rete locale (LAN) aziendale. Active Directory verificava la loro identità e l'accesso veniva concesso in gran parte in base al fatto che il traffico provenisse dall'interno della rete aziendale.

Il luogo di lavoro moderno è molto diverso. I dipendenti lavorano da casa, da bar, aeroporti e sedi dei clienti, usando laptop, tablet e smartphone. Accedono a risorse ospitate non solo nei datacenter locali, ma anche su più cloud pubblici e piattaforme SaaS di terze parti come Salesforce, ServiceNow e Zoom. In questo mondo decentralizzato, l'identità è il nuovo piano di controllo della sicurezza.

Microsoft Entra ID è un servizio cloud di gestione delle identità e degli accessi (IAM, Identity and Access Management) progettato per proteggere e gestire le identità in ambienti ibridi e multi-cloud. Non è semplicemente una versione cloud di Windows Server Active Directory: è stato sviluppato da zero per carichi di lavoro cloud su scala internet, protocolli di autenticazione basati sul web e integrazioni basate su API. Che un dipendente stia accedendo a Microsoft 365 per controllare Outlook, avviando una macchina virtuale in Azure o autenticandosi in un'applicazione HR esterna, Microsoft Entra ID ne verifica l'identità, valuta il rischio della connessione e applica i criteri aziendali in pochi millisecondi.

Componenti principali: utenti, gruppi e dispositivi

A livello fondamentale, Microsoft Entra ID ruota attorno a tre oggetti principali: utenti, gruppi e dispositivi. Capire come interagiscono questi tre elementi è il primo passo per costruire una directory scalabile e sicura.

Gestione degli utenti nel cloud

Gli utenti in Entra ID rappresentano le singole identità che necessitano di accedere alle risorse dell'organizzazione. Possono essere dipendenti interni, collaboratori esterni, organizzazioni partner o persino account di servizio e applicazioni automatizzate (spesso indicati come entità servizio o identità gestite). Il ciclo di vita degli utenti deve essere gestito con attenzione: dalla creazione dell'account all'assunzione, alle modifiche di ruolo durante il rapporto di lavoro, fino alla disattivazione immediata alla cessazione.

Le organizzazioni adottano in genere uno di due modelli per la gestione degli utenti:

• Identità solo cloud: create e gestite interamente in Entra ID. È comune per le startup "born in the cloud" o per specifici account ospite.
• Identità ibride: sincronizzate da un ambiente Active Directory on-premise tramite uno strumento chiamato Microsoft Entra Connect (o Entra Cloud Sync). Questo consente alle organizzazioni di mantenere i controller di dominio esistenti estendendo senza interruzioni le identità degli utenti al cloud, con un'esperienza di single sign-on (SSO).

Il potere dei gruppi

Assegnare autorizzazioni e applicazioni ai singoli utenti diventa rapidamente un incubo amministrativo. Qui entrano in gioco i gruppi. Entra ID supporta due tipi principali di gruppi:

• Gruppi assegnati (statici): Gli amministratori aggiungono e rimuovono manualmente i membri. Questa modalità è adatta a team piccoli e stabili, ma non scala bene.
• Gruppi dinamici: Sfruttando regole basate sugli attributi degli utenti (come reparto, qualifica o sede di lavoro), Entra ID aggiunge e rimuove automaticamente gli utenti dai gruppi. Ad esempio, puoi creare una regola in base alla quale ogni utente il cui reparto è uguale a "Vendite" viene aggiunto automaticamente alla lista di distribuzione globale Vendite e al gruppo di sicurezza. Questo riduce drasticamente il carico amministrativo e minimizza il rischio di errore umano durante i cambi di ruolo dei dipendenti.

Dispositivi come cittadini di prima classe

Nell'IT tradizionale, i dispositivi erano endpoint passivi. In Entra ID, i dispositivi sono riconosciuti come componenti critici dell'ecosistema delle identità. I dispositivi possono essere registrati, aggiunti o aggiunti in modalità ibrida ad Azure AD. Registrando o aggiungendo i dispositivi a Entra ID, le organizzazioni ottengono una visibilità approfondita sull'hardware che accede ai dati aziendali. Questo consente agli amministratori di applicare criteri del tipo: "Puoi accedere a Microsoft 365, ma solo se il dispositivo da cui effettui l'accesso è di proprietà aziendale, cifrato e conforme alle baseline di sicurezza degli endpoint".

Gestione delle applicazioni aziendali e delle integrazioni SaaS

Una delle funzionalità più potenti di Microsoft Entra ID è la capacità di agire come provider di identità (IdP) per migliaia di applicazioni cloud preintegrate tramite la galleria di applicazioni di Entra. Che la tua organizzazione utilizzi Adobe, Zoom, Workday o applicazioni web interne sviluppate su misura, Entra ID centralizza l'accesso alle applicazioni.

Applicazioni aziendali e registrazioni delle app

Quando si lavora con le applicazioni in Entra ID, è fondamentale comprendere la differenza tra applicazioni aziendali e registrazioni delle app:

• Applicazioni aziendali: Sono le rappresentazioni locali (o entità di servizio) delle applicazioni configurate per considerare attendibile Entra ID per il single sign-on. È qui che gli amministratori IT assegnano utenti e gruppi, configurano i criteri di accesso condizionale per le singole app e gestiscono il provisioning degli utenti.
• Registrazioni delle app: Rappresentano la definizione globale di un'applicazione sviluppata dagli sviluppatori all'interno dell'organizzazione. Definiscono in che modo l'app si integra con la piattaforma di identità Microsoft, quali autorizzazioni richiede e quali segreti di autenticazione o certificati utilizza.

Single Sign-On (SSO) e federazione

Sono finiti i tempi in cui gli utenti dovevano memorizzare una dozzina di password diverse per una dozzina di applicazioni di lavoro. Entra ID supporta protocolli di autenticazione moderni come Security Assertion Markup Language (SAML) 2.0 e OpenID Connect (OIDC) per abilitare un single sign-on senza interruzioni. Gli utenti si autenticano una sola volta con Entra ID, e le applicazioni SaaS attendibili accettano quel token di autenticazione, concedendo un accesso immediato e sicuro.

Inoltre, il provisioning automatizzato degli utenti (spesso basato sullo standard SCIM) consente a Entra ID di creare, aggiornare ed eliminare automaticamente gli account utente nelle applicazioni SaaS di terze parti. Quando un dipendente lascia l'azienda e il suo account Entra ID viene disabilitato, viene automaticamente de-provisionato da tutte le piattaforme SaaS collegate, chiudendo immediatamente potenziali punti ciechi per la sicurezza.

Protezione dell'autenticazione e controllo degli accessi

L'autenticazione è la porta d'accesso al tuo ambiente cloud. Assicurarsi che gli utenti siano davvero chi dichiarano di essere è fondamentale. Affidarsi esclusivamente alle password, però, è una ricetta per il disastro. Le password possono essere indovinate, phishate, riutilizzate o intercettate.

Autenticazione a più fattori (MFA)

Abilitare l'autenticazione a più fattori è probabilmente la misura di sicurezza più efficace che un'organizzazione possa adottare. Microsoft Entra ID rende l'implementazione dell'MFA flessibile e facile da usare, supportando metodi come l'app Microsoft Authenticator (con notifiche push e corrispondenza dei numeri), chiavi di sicurezza FIDO2, token hardware e chiamate SMS o vocali (anche se le notifiche push tramite app e le chiavi hardware sono fortemente consigliate rispetto agli SMS, a causa della vulnerabilità agli attacchi di SIM swapping).

Per eliminare del tutto le password, Entra ID supporta metodi di autenticazione senza password, tra cui Windows Hello for Business, le chiavi di sicurezza FIDO2 e l'accesso telefonico tramite l'app Microsoft Authenticator. L'autenticazione senza password offre un'esperienza utente nettamente migliore e, allo stesso tempo, neutralizza il furto di credenziali.

Accesso condizionale: il motore di criteri intelligente

L'autenticazione non dovrebbe essere un evento statico, del tipo tutto o niente. Accedere da un laptop aziendale gestito, collegato dalla sede sicura di Londra, dovrebbe comportare requisiti di sicurezza diversi rispetto all'accesso da un dispositivo sconosciuto connesso a una rete Wi-Fi pubblica in un Paese straniero.

È qui che entra in gioco Microsoft Entra Conditional Access. Conditional Access funziona come un motore intelligente per le decisioni sui criteri. Valuta i segnali, tra cui l'identità dell'utente, lo stato del dispositivo, la posizione, il livello di rischio e la sensibilità dell'applicazione, e applica le decisioni di accesso in tempo reale.

Un tipico flusso di lavoro di un criterio di Accesso condizionale è il seguente:

• Se un utente tenta di accedere a un'applicazione finanziaria altamente sensibile...
• E il rischio di accesso viene valutato come medio o alto da Microsoft Entra Identity Protection...
• Allora concedi l'accesso, ma richiedi l'autenticazione a più fattori e la reimpostazione della password, oppure blocca l'accesso del tutto finché il rischio non viene risolto.

Conditional Access consente alle organizzazioni di passare da una rigida sicurezza perimetrale a un'architettura Zero Trust solida: non fidarti mai, verifica sempre e presumi che una violazione sia già avvenuta.

Comprendere autorizzazioni, ruoli e delega

Una volta che un utente si è autenticato correttamente e ha superato tutti i controlli di Accesso condizionale, che cosa gli è consentito fare? Gestire l'autorizzazione in Microsoft Entra ID richiede una conoscenza approfondita delle autorizzazioni, dei ruoli amministrativi e dei modelli di delega.

Ruoli predefiniti di Microsoft Entra

In passato, le organizzazioni spesso cadevano nella trappola di concedere autorizzazioni amministrative eccessivamente ampie, come rendere ogni tecnico dell'help desk un Domain Admin. Nel cloud, seguire il principio del privilegio minimo (PoLP) non è negoziabile. Gli utenti dovrebbero avere solo il livello minimo di accesso necessario per svolgere i propri compiti specifici.

Entra ID offre un ampio insieme di ruoli amministrativi predefiniti e granulari. Ad esempio:

• Amministratore utenti: può gestire tutti gli aspetti di utenti e gruppi, inclusa la reimpostazione delle password per gli utenti non amministratori.
• Amministratore help desk: può reimpostare le password per gli utenti non amministratori e per specifici ruoli dell'help desk, ma non può creare utenti né modificare le impostazioni di sicurezza globali.
• Amministratore di Accesso condizionale: può creare e gestire i criteri di Accesso condizionale senza avere accesso agli account utente o ai dati di fatturazione.
• Amministratore globale: è il ruolo amministrativo di livello più alto, con accesso completo a tutte le funzionalità della directory. Questo ruolo dovrebbe essere limitato rigorosamente a un numero molto ristretto di persone (idealmente meno di cinque) e sottoposto a un monitoraggio costante.

Privileged Identity Management (PIM)

Anche con ruoli granulari, l'accesso amministrativo permanente comporta un rischio significativo. Se le credenziali di un Amministratore globale vengono compromesse, l'attaccante ha in mano le chiavi dell'intero regno. Ecco che entra in gioco Microsoft Entra Privileged Identity Management (PIM).

PIM consente l'accesso privilegiato Just-In-Time (JIT). Invece di avere autorizzazioni permanenti, gli amministratori mantengono account utente standard nella vita di tutti i giorni. Quando deve essere eseguita un'attività amministrativa, l'utente richiede l'attivazione del ruolo specifico tramite PIM. Il sistema può richiedere flussi di approvazione, giustificazioni obbligatorie e l'autenticazione a più fattori prima di elevare le autorizzazioni dell'utente per una finestra temporale limitata (ad esempio, due ore). Allo scadere del tempo, le autorizzazioni vengono revocate automaticamente. PIM trasforma i privilegi permanenti in eventi temporanei e verificabili.

Best practice per amministrare Entra ID in azienda

Per concludere questa guida approfondita, vediamo alcune best practice concrete che ogni amministratore IT, professionista della sicurezza e cloud architect dovrebbe implementare quando gestisce Microsoft Entra ID.

1. Imponi l'MFA resistente al phishing a tutti

Non aspettare un incidente di sicurezza per rendere obbligatoria l'autenticazione a più fattori (MFA). Applicala a tutta l'organizzazione, partendo dagli amministratori e dagli utenti con privilegi, e poi estendila rapidamente a tutti i dipendenti. Quando possibile, orienta gli utenti lontano dall'MFA basata su SMS e verso le notifiche push nell'app con corrispondenza del numero o verso le chiavi di sicurezza FIDO2, per difendersi dagli attacchi di phishing adversary-in-the-middle (AiTM) moderni.

2. Adotta Zero Trust con i criteri di accesso condizionale di base

Implementa subito un set di base di criteri di accesso condizionale. Come minimo, blocca i protocolli di autenticazione legacy (che non supportano i moderni controlli di sicurezza), richiedi dispositivi conformi per accedere ai dati aziendali e definisci criteri basati sul rischio che si adattino dinamicamente ai comportamenti di accesso sospetti.

3. Verifica e riduci gli amministratori globali

Esegui regolarmente una verifica dei ruoli con privilegi. Assicurati che non ci siano più di due o quattro account con il ruolo di Amministratore globale, e richiedi account di emergenza (break-glass), ovvero account di emergenza solo cloud con credenziali robuste protette da hardware e conservate in modo sicuro, per gli scenari di guasto catastrofico.

4. Sfrutta Privileged Identity Management (PIM)

Se il piano di licenza della tua organizzazione lo consente (tipicamente Microsoft Entra ID P2 o Microsoft 365 E5), distribuisci subito PIM. Elimina l'accesso amministrativo permanente e richiedi flussi di lavoro di giustificazione e approvazione per tutte le attivazioni di ruoli sensibili.

5. Controlla regolarmente l'accesso degli ospiti e la collaborazione B2B

La collaborazione esterna è essenziale per il business moderno, ma gli account ospite non gestiti rappresentano un importante punto cieco per la sicurezza. Implementa le revisioni dell'accesso in Entra ID per riconfermare periodicamente se gli ospiti esterni hanno ancora bisogno di accedere alle risorse aziendali. Rimuovi automaticamente gli ospiti che non hanno più bisogno di accesso.

Conclusione

Microsoft Entra ID è molto più di una semplice directory utenti: è il livello di sicurezza di base per l'intero ecosistema cloud. Capendo come gestire utenti, gruppi, dispositivi e applicazioni aziendali, e applicando un'autenticazione rigorosa, l'accesso condizionale e autorizzazioni con privilegi minimi, puoi trasformare l'identità da vulnerabilità nella difesa più forte della tua organizzazione.

Grazie per aver seguito il nostro podcast e per aver letto questo articolo. Se questa analisi ti è stata utile, condividila con i tuoi colleghi IT, iscriviti al podcast per altri approfondimenti sull'architettura cloud e scrivici per segnalarci domande o argomenti che vorresti trattassimo nelle prossime puntate. Restate al sicuro!