Guida a Password Hash Sync vs PTA

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Scopri Password Hash Sync e PTA con indicazioni pratiche su configurazione, architettura, sicurezza, governance e casi d'uso reali.

Automatically translated with AI from the original post. Read the English original

Se gestisci sia Active Directory locale sia Microsoft Entra ID (ex Azure AD), la domanda da un milione di dollari è: «Come posso autenticare gli utenti in modo sicuro e senza problemi, indipendentemente da dove effettuano l'accesso?» È qui che entrano in gioco Password Hash Sync (PHS) e Pass-Through Authentication (PTA): entrambi collegano l'ambiente on-premises al cloud, ma con approcci molto diversi in termini di sicurezza, conformità e resilienza.

PHS e PTA fanno molto più che consentire l'accesso. Collegano l'Active Directory tradizionale ai servizi cloud-first di Entra ID, rendendo possibili e gestibili gli ambienti di lavoro ibridi. La scelta del metodo giusto non influisce solo sull'esperienza di accesso degli utenti, ma anche sul modo in cui l'organizzazione si protegge dalle minacce, gestisce la conformità e pianifica la crescita.

Questa guida offre risposte concrete sia ai responsabili tecnici sia ai decisori con una visione business. Confrontiamo direttamente PHS e PTA, analizzando come funzionano, cosa li differenzia e come scegliere quello più adatto. Ti accompagniamo in una panoramica completa su configurazione, livelli di sicurezza, disaster recovery, conformità e prestazioni. Alla fine avrai un piano operativo per allineare la tua strategia di identità alle best practice Microsoft, senza fronzoli, esagerazioni o mal di testa. Iniziamo.

Metodi di autenticazione a confronto: Password Hash Sync e Pass-Through Authentication in Entra ID

L'identità ibrida consiste nel collegare Active Directory locale a Microsoft Entra ID, e il metodo di autenticazione scelto ne è il cuore. Con Password Hash Sync (PHS) e Pass-Through Authentication (PTA) hai due modi distinti per convalidare gli utenti che accedono alle risorse cloud. Questi approcci influiscono non solo sulla sicurezza, ma anche su prestazioni, conformità e facilità d'uso quotidiana. Comprendere lo scopo e il contesto di entrambe le opzioni ti aiuta a prendere la decisione più adatta al tuo ambiente. Di seguito vediamo nel dettaglio come funzionano PHS e PTA, soffermandoci sui dettagli e sui flussi più importanti.

Password Hash Authentication e PTA Azure: come funzionano?

Password Hash Synchronization (PHS) e Pass-Through Authentication (PTA) sono le due opzioni principali per collegare l'identità on-premises al cloud Microsoft. Entrambe consentono agli utenti di accedere ai servizi cloud con le loro credenziali AD «tradizionali», ma lo fanno in modi piuttosto diversi.

Con Password Hash Sync, l'ambiente configura Azure AD Connect in modo che esporti periodicamente verso Entra ID un hash crittografico speciale e unidirezionale della password di ogni utente AD abilitato. Non si tratta semplicemente dell'hash grezzo del controller di dominio, ma di un hash dell'hash, quindi nemmeno Microsoft può risalire alla password originale. Una volta che gli hash arrivano nel cloud, Entra ID può autenticare direttamente gli utenti, in modo rapido e resiliente ai problemi dell'ambiente locale.

PTA, invece, mantiene la verifica della password nel tuo Active Directory locale. Quando un utente tenta di accedere a un servizio cloud Microsoft, la richiesta di autenticazione viene inoltrata in modo sicuro da Entra ID a uno degli agent PTA leggeri installati on-premises. L'agent verifica il nome utente e la password fornititi con AD, restituisce una risposta sì/no e Entra ID consente l'accesso all'utente oppure lo blocca.

Immagina il quadro complessivo: con PHS gli hash delle password risiedono nel cloud e l'autenticazione avviene in Azure; con PTA non esiste alcun hash della password nel cloud, e tutti i controlli delle credenziali sono gestiti direttamente dai tuoi DC on-premises tramite un agent. La scelta determina dove avviene realmente l'autenticazione e quanto dipendi dal corretto funzionamento della rete. Queste basi influenzano tutto, dalla postura di sicurezza alla resilienza in caso di disastro fino all'esperienza utente. Per capire come tutto questo si inserisce nel contesto di rischio, conformità e operations, consulta questa guida sull'accesso condizionale di Entra ID con strategie per mantenere la governance dell'identità sotto controllo.

Archiviazione degli hash delle password e flussi di autenticazione sicuri

Con PHS, una versione con hash, e ulteriormente sottoposta a hash, della password di ogni utente viene cifrata e sincronizzata con Entra ID. Questa archiviazione lato cloud significa che Entra ID può rispondere direttamente ai tentativi di accesso, anche quando l'Active Directory locale non è raggiungibile.

PTA non copia nel cloud e non memorizza mai gli hash delle password in Azure. Usa invece degli agenti per convalidare le credenziali in tempo reale su AD locale, a ogni accesso di un utente. Il canale sicuro fa sì che le password non restino esposte. In sintesi: PHS si affida a credenziali memorizzate nel cloud e sottoposte a doppio hash; PTA esegue controlli in tempo reale a ogni richiesta di autenticazione, mantenendo le credenziali in locale.

Considerazioni di sicurezza per l'identità nell'autenticazione ibrida

Quando si parla di identità ibride, la sicurezza non riguarda solo la costruzione di un muro, ma anche la scelta degli strumenti giusti per bloccare gli attacchi più comuni senza compromettere la normale operatività. Scegliere tra PHS e PTA cambia il luogo in cui risiedono i dati delle password, il modo in cui viaggiano e come vengono protetti sia a riposo sia in transito. Ma non è tutto: bisogna anche considerare come ciascun metodo sfrutta strumenti di difesa come l'accesso condizionale e la protezione delle identità.

Le organizzazioni sono sotto pressione per rispettare i requisiti di conformità e stare al passo con minacce in continua evoluzione. Che la preoccupazione riguardi il furto di credenziali, il phishing o il contenimento dei danni in caso di violazione, il metodo di autenticazione ibrida ha un ruolo determinante. Conviene capire come ciascun approccio regge alle minacce, si integra con le difese a più livelli e si inserisce in un'architettura di identità moderna e resiliente per la tua azienda. Per un approccio pratico al bilanciamento tra sicurezza degli utenti e buona esperienza d'uso, consulta questa guida alla sicurezza di Microsoft 365 sulle best practice per gli ambienti Microsoft.

Protezioni locali e livelli di sicurezza nel cloud

PHS e PTA sfruttano entrambi le funzionalità di sicurezza di Active Directory locale e le portano nel cloud tramite Entra ID. Con PHS, una volta che gli hash sono in Azure, è possibile aggiungere difese specifiche del cloud: criteri di accesso condizionale e punteggio di rischio di Identity Protection si applicano a tutte le autenticazioni, rendendo più semplice imporre i criteri in modo rigoroso.

Anche PTA supporta questi controlli a livello cloud, ma poiché le verifiche delle password avvengono in locale, le protezioni tradizionali di AD restano la prima linea di difesa. Gli ulteriori controlli nel cloud, come Accesso condizionale e MFA, si applicano comunque dopo l'autenticazione. Qualunque percorso tu scelga, combinare le protezioni locali con le funzionalità moderne di Entra ID crea uno stack di identità resiliente e basato sulla difesa in profondità. Vuoi approfondire le minacce più recenti nel cloud? L'analisi dell'attacco di consenso OAuth illustra i rischi reali per Entra ID e le relative difese.

Blocco dell'account, scadenza e esperienza di accesso con PHS e PTA

• Blocco dell'account: PTA applica immediatamente il blocco locale: più tentativi di password errate bloccano subito anche gli accessi nel cloud. Con PHS, il blocco viene applicato con ritardo, alla successiva sincronizzazione degli hash delle password.
• Scadenza della password: PTA rispetta in tempo reale la durata delle password di AD e richiede la modifica nel momento in cui l'account scade. PHS lo recepisce alla sincronizzazione successiva; gli utenti possono disporre di una breve finestra successiva alla scadenza se gli hash non sono stati aggiornati.
• Criteri di accesso: PTA riflette tutti i controlli sugli orari di accesso di AD. PHS applica le modifiche ai criteri dopo la sincronizzazione, con un breve ritardo nel cloud.
• Gestione del rischio: la connessione in tempo reale di PTA garantisce un'applicazione rigorosa dei criteri, mentre PHS sacrifica un po' di immediatezza in cambio di maggiore resilienza e disponibilità.

Esperienza utente: accesso unico fluido e accessibilità in Entra ID

Il flusso di identità giusto non riguarda solo password o token, ma garantire che gli utenti accedano in modo fluido, sicuro e senza dover superare continuamente ostacoli. La scelta dell'autenticazione ibrida, PHS o PTA, influisce direttamente su quanto sia semplice (o meno) la vita degli utenti finali, soprattutto nel contesto del lavoro da remoto e dei team distribuiti.

Questa sezione analizza come ciascun metodo offre un accesso unico senza interruzioni, dove puoi aspettarti un accesso utente del tipo "configura e dimentica", e cosa succede quando qualcosa va storto, che si tratti di un'interruzione della rete, del crash di un agente PTA o di una password dimenticata. Ci concentreremo sulla semplificazione degli accessi, sulla riduzione dei passaggi superflui e sulla protezione dell'accesso anche in presenza di problemi di rete, mantenendo al centro la sicurezza.

Abilitare l'accesso unico senza interruzioni con PHS e PTA

• Supporto Kerberos SSO: Sia PHS sia PTA possono usare Seamless SSO, che si basa su un account computer (AZUREADSSOACC) in AD e offre agli utenti un vero single sign-on sui dispositivi aggiunti al dominio.
• Flusso di accesso: Con Seamless SSO abilitato, gli utenti su dispositivi attendibili, che usino PHS o PTA, vedono raramente una richiesta di password, anche per le app cloud. Le credenziali di AD vengono usate in background.
• Riduzione delle richieste: Seamless SSO riduce notevolmente il numero di riautenticazioni, permettendo agli utenti di passare tra app, dispositivi e browser con interruzioni minime.
• Sicurezza con entrambi i metodi: Seamless SSO è altrettanto sicuro sia con PHS sia con PTA, ma la percezione degli utenti migliora in entrambi i casi. Questo è fondamentale per la produttività e per ridurre le chiamate al servizio di supporto.

Problemi di connessione temporanei per PTA e scenari di fallback nel cloud

• Interruzione degli agent PTA: Se tutti gli agent PTA vanno offline o perdono il contatto con Entra ID, gli utenti non possono autenticarsi: senza il controllo on-premises non c'è accesso.
• Resilienza di PHS: Gli utenti PHS possono continuare ad accedere anche se la AD locale è inattiva, perché le autenticazioni vengono gestite nel cloud con gli hash memorizzati.
• Sedi remote e filiali: Per le sedi con collegamenti instabili, PHS offre un livello di protezione aggiuntivo: gli utenti possono comunque lavorare anche in caso di cali di connettività.
• Strategie di fallback: Alcune organizzazioni abilitano entrambi i metodi (con PHS come backup) per una maggiore resilienza, consentendo il failover automatico durante le interruzioni di PTA.

Distribuzione e gestione degli agent di autenticazione

Configurare l'autenticazione ibrida non è un'attività da impostare e dimenticare. PHS e PTA hanno entrambi requisiti operativi specifici, dall'installazione del software degli agent alla gestione delle autorizzazioni. Mantenere questi sistemi in funzione richiede di bilanciare la manutenzione quotidiana con le esigenze di sicurezza e conformità.

Per i team che implementano Password Hash Sync, i compiti principali riguardano la gestione di Azure AD Connect: pianificare le sincronizzazioni, gestire gli aggiornamenti e monitorare gli errori. Con PTA, l'attenzione si sposta sulla distribuzione e il monitoraggio di agent leggeri su più server on-premises (per la ridondanza) e sulla risoluzione dei problemi di rete che possono interrompere il traffico di autenticazione. Contano anche le autorizzazioni, le patch e i protocolli di risposta agli incidenti.

Con il crescente affidamento ai servizi cloud, una gestione corretta degli agent garantisce accessi affidabili e prepara la scalabilità senza interruzioni. Per chi vuole affrontare seriamente la governance, vedi come controlli quali RBAC e l'applicazione dei criteri hanno un ruolo fondamentale in Azure in questa guida alla strategia di governance enterprise.

Estendere le autorizzazioni per Azure AD Connect e gli agent PTA

• Autorizzazioni di Azure AD Connect: Durante la configurazione richiede diritti di amministratore enterprise, poi passa alle autorizzazioni delegate per la sincronizzazione continua. Non eseguire con privilegi superiori al necessario e verificali a ogni aggiornamento.
• Autorizzazioni degli agent PTA: Gli agent richiedono credenziali di un account di servizio con il diritto «Accedi come servizio» e autorizzazioni di lettura su AD, ma dovrebbero evitare ampi ruoli di amministratore di dominio per ridurre la superficie di attacco.
• Best practice per la delega: Applica il principio del privilegio minimo. Concedi solo le autorizzazioni necessarie, né più né meno, e controlla periodicamente questi ruoli per individuare eventuali scostamenti.
• Audit di conformità: Usa strumenti come Microsoft Purview Audit per monitorare le modifiche, tracciare l'attività degli agent e supportare le indagini forensi in caso di problemi.

Implementazione del write-back delle password e corrispondenza degli account esistenti

• Write-back delle password: Abilita il write-back delle password tramite Azure AD Connect così gli utenti possono reimpostare le password nel cloud: le modifiche vengono sincronizzate automaticamente con la AD locale, riducendo il carico sul servizio di supporto.
• Self-service per gli utenti: Una volta configurato, gli utenti possono reimpostare e modificare le password da Office.com o dall'app Microsoft Authenticator, restando produttivi e conformi alle policy.
• Strategie di corrispondenza: Prima di attivare PHS o di passare da PTA, verifica che gli account utente siano correttamente associati tra Entra ID e AD, per evitare identità duplicate o problemi di accesso.
• Best practice per la migrazione: testa la scrittura di ritorno con un gruppo pilota, verifica la corrispondenza delle identità tramite immutableID o gli attributi mail e monitora dopo il lancio la presenza di errori di sincronizzazione o credenziali non corrispondenti.

Migrazione da PTA a PHS: preparazione, esecuzione e convalida

Passare da Pass-Through Authentication a Password Hash Sync non è questione di premere un interruttore e sperare nel meglio. La migrazione richiede una pianificazione accurata, la documentazione dell'ambiente, la verifica che le impostazioni cloud e on-premises siano allineate e una comunicazione chiara con utenti e stakeholder.

Questa sezione ti guida attraverso l'intero processo: come preparare il tuo tenant, verificare la compatibilità con PHS e prevedere eventuali intoppi che potrebbero presentarsi con questo cambiamento. L'obiettivo è ridurre al minimo i disagi per gli utenti, evitare sorprese e definire un percorso lineare, con un piano di rollback in caso di necessità. Ogni fase include punti di controllo e best practice per mantenere stabile la tua identità ibrida durante l'intera transizione.

Con un buon piano di migrazione puoi spostare la gestione dell'autenticazione nel cloud, guadagnando resilienza, supportando i siti remoti e le filiali e aprendo la strada a future evoluzioni. Il cambiamento è difficile, ma se gestito bene significa meno interventi d'emergenza e più tempo dedicato al business vero e proprio.

Preparazione, panoramica del tenant e valutazione della prontezza al cambiamento

• Inventaria le impostazioni esistenti: documenta tutti i criteri di autenticazione e password in uso, insieme ai dettagli di distribuzione degli agent, per evitare dimenticanze.
• Verifica la compatibilità con il cloud: controlla che tutti gli account siano sincronizzati e idonei a PHS, facendo attenzione ai criteri password non standard o agli schemi di crittografia legacy.
• Pianifica la comunicazione: informa stakeholder, helpdesk e utenti delle modifiche imminenti, dei possibili impatti e dei nuovi flussi di accesso.
• Definisci il piano di rollback: prepara un piano di ripristino chiaro per il caso in cui qualcosa vada storto durante la migrazione: sappi quali condizioni fanno scattare il rollback e come tornare indietro senza perdere il servizio.
• Pianifica per ridurre al minimo l'impatto: scegli finestre di manutenzione con poca attività da parte degli utenti e assicurati che il supporto sia disponibile durante e dopo il passaggio. Per approfondire l'impatto sulla conformità del tenant, consulta questo episodio sul compliance drift.

Abilitare PHS, passare alla produzione, convalidare il successo e rollback d'emergenza

1. Abilita PHS in Azure AD Connect: attiva Password Hash Sync e verifica che gli hash inizino a sincronizzarsi per tutti gli utenti. Monitora l'avanzamento nella dashboard di Azure AD Connect e controlla che non vengano registrati errori.
2. Verifica la corrispondenza nel cloud: controlla che le identità sincronizzate siano mappate correttamente e che l'accesso funzioni con PHS prima di spostare il traffico di produzione. Fai attenzione a mancate corrispondenze o account duplicati.
3. Reindirizza l'autenticazione di produzione: sposta gradualmente il traffico di autenticazione da PTA a PHS, iniziando dai gruppi pilota e passando all'intero tenant se tutto procede senza problemi.
4. Monitora il successo e l'esperienza utente: tieni d'occhio i tempi di accesso, lo stato del servizio e il feedback degli utenti durante e dopo il passaggio. Intervieni rapidamente in caso di errori di accesso o anomalie.
5. Dismetti in sicurezza gli agent PTA: una volta sicuro di PHS, rimuovi gli agent PTA seguendo la procedura di pulizia di Microsoft. Documenta la modifica, aggiorna i piani di risposta agli incidenti e verifica che non restino dipendenze legacy.
6. Piano di rollback d'emergenza: se le cose vanno fuori controllo, sii pronto a tornare a PTA riattivando gli agent e invertendo il flusso del traffico. Assicurati di averlo provato, così da poter completare il rollback in meno di 30 minuti, se necessario.

Scegliere il metodo di autenticazione giusto per la tua identità cloud ibrida

Con tutti i fatti e i flussi sul tavolo, è il momento di allinearli alle tue esigenze reali. La scelta tra PHS e PTA non riguarda solo la tecnologia: riguarda il profilo di rischio, la postura di conformità, l'affidabilità della rete e quanta gestione diretta il tuo team riesce a sostenere. La scelta giusta non risponde solo agli obiettivi tecnici, ma anche alle esigenze di business, ai vincoli normativi e alle abitudini degli utenti.

Questa sezione finale riunisce aspetti pratici, criticità note e scenari comuni, così puoi abbinare con sicurezza il tuo piano di identità ibrida al metodo più adatto ai tuoi obiettivi, e cambiare strategia quando la tua organizzazione evolve.

PTA scelto al posto di PHS: quando selezionare ciascun approccio

• Usa PTA se: hai normative rigide che vietano di archiviare nel cloud qualsiasi forma di hash delle password, oppure ti servono criteri di Active Directory applicati in tempo reale.
• Usa PHS se: vuoi la massima resilienza: le autenticazioni continuano a funzionare anche se Active Directory locale è inattivo o non raggiungibile (ideale per team distribuiti o che lavorano da remoto).
• PTA è adatto a: ambienti altamente regolamentati o di grandi dimensioni e centralizzati, con una connettività solida tra cloud e on-premises.
• PHS è adatto a: organizzazioni che danno priorità alla disponibilità, a una gestione semplice e alla resilienza cloud-first, soprattutto se filiali remote o instabilità di rete sono un problema.

Domande frequenti, autenticazione a più fattori e punti chiave

• L'autenticazione a più fattori (MFA) funziona con entrambi i metodi? Sì. Sia PTA sia PHS supportano l'MFA moderna (accesso condizionale, SMS, codice tramite app, FIDO2 e altro), che viene applicata da Entra ID dopo l'autenticazione.
• Con PHS perdo i criteri locali? Non del tutto: la maggior parte delle modifiche delle password, dei blocchi e delle scadenze viene mantenuta dopo la sincronizzazione, mentre PTA li applica in tempo reale. Se l'applicazione dei criteri è davvero critica, PTA potrebbe essere la scelta migliore.
• Cosa succede se la nostra rete va giù? Con PTA, tutta l'autenticazione cloud si blocca se gli agenti PTA non sono raggiungibili. PHS continua a funzionare (gli utenti possono comunque accedere) grazie agli hash memorizzati nel cloud: pianifica di conseguenza la tua strategia di failover.
• Come gestisco il reporting di conformità e il logging di audit? PTA registra gli eventi principalmente in locale (sugli agenti e sui controller di dominio); PHS invia gran parte dell'attività a Entra ID, offrendo una visibilità più ricca a livello cloud per i team SIEM e di conformità. Il logging e il monitoraggio nel cloud sono più semplici per una governance complessiva: scopri come ridurre il rischio legato alle identità in questo episodio su Entra ID e l'accesso condizionale.
• Punto chiave: PTA e PHS hanno entrambi un ruolo. Valuta lo sforzo operativo, la resilienza, le esigenze normative e l'esperienza utente prima di decidere. Non dimenticare di monitorare il debito legato alle identità e la proliferazione dei criteri di accesso condizionale: criteri solidi e applicabili sono al centro di una sicurezza reale, come discusso nella guida sopra. Se stai affrontando sicurezza e governance su piattaforme più ampie, dai un'occhiata alle pratiche di sicurezza di Power Platform per strategie complementari di gestione delle identità.

Ti consigliamo anche di ascoltare

Se stai approfondendo Password Hash Sync vs PTA, questi episodi offrono un contesto pratico su architettura, sicurezza, governance e implementazione:

• Microsoft AI Agent Harness – Simply Explained — Scopri orchestrazione, guardrail, valutazione e flussi di lavoro AI affidabili.
• Microsoft Defender XDR – Simply Explained — Collega le decisioni su identità e AI al monitoraggio e alla risposta in ambito sicurezza.
• Microsoft Teams Governance – The Illusion of Control — Scopri come governance, proprietà e criteri riducono il rischio operativo.
• Azure Virtual Network – Simply Explained — Comprendi il contesto architetturale alla base della connettività cloud.