SAML o OpenID Connect: come scegliere il protocollo giusto per Microsoft Entra ID

By Mirko Peters · 2026-10-30

Confronta i protocolli SAML e OpenID Connect (OIDC) in Microsoft Entra ID. Scopri le principali differenze tecniche, i casi d'uso e quando scegliere ciascuno standard.

Automatically translated with AI from the original post. Read the English original

SAML e OpenID Connect (OIDC) sono i due principali protocolli di autenticazione che alimentano il single sign-on aziendale in Microsoft Entra ID. Scegliere il protocollo corretto dipende dall'età dell'applicazione, dai requisiti architetturali e dai flussi di lavoro degli sviluppatori, bilanciando la compatibilità con il software aziendale legacy e gli standard moderni dello sviluppo cloud-native.

Punti chiave

• SAML è un protocollo aziendale basato su XML, ideale per applicazioni meno recenti e software legacy.
• OpenID Connect (OIDC) è un protocollo leggero basato su JSON, costruito su OAuth 2.0 e pensato per app web e mobili moderne.
• Microsoft Entra ID supporta nativamente entrambi i protocolli, consentendo agli amministratori di proteggere contemporaneamente strumenti legacy e moderni.
• Il furto di token e la compromissione delle credenziali sono i principali vettori di attacco per entrambi i protocolli, e richiedono criteri MFA robusti.
• La scelta tra SAML e OIDC dipende dalla compatibilità delle applicazioni, dal grado di modernità dello sviluppo e dalle regole di conformità aziendali.

Capire SAML in ambito aziendale

Security Assertion Markup Language, comunemente noto come SAML, è da oltre un decennio il cavallo di battaglia indiscusso dei sistemi di accesso aziendali. Quando le grandi aziende avevano bisogno di permettere ai dipendenti di accedere a decine di sistemi interni ed esterni senza dover digitare continuamente le password, SAML forniva il framework solido necessario per gestire integrazioni complesse con la directory.

Al suo nucleo, SAML racchiude i messaggi di autenticazione e le asserzioni sugli utenti in un formato ingombrante e molto strutturato chiamato XML. Anche se XML fa storcere il naso agli sviluppatori per via della sua verbosità, è molto efficace nel trasportare grandi quantità di informazioni dettagliate su un utente. In una tipica risposta SAML, il token può comunicare il reparto esatto di un dipendente, il suo ruolo, la gerarchia organizzativa, l'appartenenza a gruppi di sicurezza e i livelli di autorizzazione specifici. I grandi fornitori di software aziendale hanno costruito le proprie piattaforme attorno a questa capacità, perché i reparti IT aziendali esigevano un controllo granulare delle autorizzazioni degli utenti già al momento del login.

Per gli amministratori di Microsoft Entra ID, SAML compare spesso quando si integrano applicazioni on-premises meno recenti, sistemi ERP specializzati o piattaforme SaaS aziendali che risalgono all'epoca precedente al cloud mobile-first. Se un sistema datato supporta solo SAML, oppure se framework di conformità rigorosi e contratti di acquisto ne impongono l'uso, gli amministratori configurano una connessione SAML tramite la raccolta di applicazioni aziendali per mantenere la compatibilità.

L'ascesa di OpenID Connect per le app moderne

Con il passaggio del software da installazioni desktop monolitiche ad app web ospitate nel cloud, applicazioni a pagina singola (SPA) e app mobili, la struttura XML pesante di SAML si è rivelata troppo macchinosa per uno sviluppo rapido. Così è nato OpenID Connect, universalmente abbreviato in OIDC.

OIDC è costruito direttamente sopra OAuth 2.0, separando l'autenticazione (dimostrare chi sei) dall'autorizzazione (decidere a cosa puoi accedere). Invece di voluminosi file XML, OIDC impacchetta le attestazioni e le informazioni di identità in compatti JSON Web Token (JWT). Questo design leggero rende OIDC eccezionalmente facile da integrare per gli sviluppatori moderni in framework web e mobili.

Quando usi Microsoft Entra ID per accedere a uno strumento SaaS moderno o a un'applicazione cloud sviluppata internamente, OIDC gestisce dietro le quinte lo scambio dei token. Gli sviluppatori preferiscono OIDC perché si integra naturalmente nell'architettura web moderna, consuma meno risorse di rete e viene analizzato rapidamente negli ambienti del browser. Le indicazioni predefinite di Microsoft per lo sviluppo di nuove applicazioni cloud raccomandano esplicitamente OIDC per la sua agilità e per l'integrazione senza attriti con gli stack di sviluppo moderni.

Confronto tra le architetture SAML e OIDC

Per valutare SAML rispetto a OpenID Connect bisogna andare oltre le sigle e osservare come gestiscono la trasmissione dei dati, la compatibilità delle applicazioni e il carico amministrativo. Un'immagine utile è quella di SAML come un documento legale formale, con tanto di timbri, recapitato con raccomandata, mentre OIDC somiglia a un messaggio di testo cifrato e istantaneo inviato a un dispositivo mobile.

La tabella seguente riassume le principali differenze architetturali:

• Formato dei dati: SAML usa XML; OIDC usa JSON (JWT).
• Framework di base: SAML è autonomo; OIDC è basato su OAuth 2.0.
• Caso d'uso principale: SAML si adatta alle applicazioni SaaS tradizionali e legacy delle aziende; OIDC alimenta le app web, mobile e single-page moderne.
• Complessità per gli sviluppatori: SAML richiede un'analisi approfondita del protocollo; OIDC offre un'integrazione API leggera e intuitiva.

Nonostante queste differenze, nessuno dei due protocolli è intrinsecamente superiore. Rappresentano semplicemente soluzioni progettate per epoche diverse dello sviluppo software. Molte organizzazioni mantengono ambienti ibridi in cui gli strumenti legacy si basano su SAML mentre le applicazioni cloud di nuova distribuzione usano OIDC, con entrambi i protocolli in esecuzione in parallelo all'interno di Microsoft Entra ID senza conflitti.

Implicazioni per la sicurezza e gestione dei token

Indipendentemente dal fatto che la tua organizzazione standardizzi su SAML o OIDC, la postura di sicurezza di fondo dipende interamente dalla validazione dei token e dalla gestione del loro ciclo di vita. In un'architettura moderna di single sign-on, il bene più prezioso che un attaccante può prendere di mira non è più una password statica, bensì un token di sessione attivo.

Poiché i token concedono accesso diretto oltre la porta dell'autenticazione senza richiedere nuovamente le credenziali, gli attaccanti più sofisticati utilizzano kit di phishing e attacchi adversary-in-the-middle per intercettare i token attivi. Per mitigare questo rischio in Microsoft Entra ID, gli amministratori devono imporre solide policy di autenticazione a più fattori (MFA), sfruttare Accesso condizionale per valutare la conformità dei dispositivi e assicurarsi che la durata dei token sia adeguatamente limitata.

I token di accesso e i token ID sono intenzionalmente di breve durata, spesso con un valore predefinito di circa un'ora, e obbligano le app a fare affidamento su token di aggiornamento o controlli di riautenticazione per mantenere in sicurezza la sessione dell'utente. Che si tratti di analizzare asserzioni XML in SAML o di validare le claim JSON in OIDC, l'applicazione deve verificare rigorosamente le firme crittografiche rispetto ai certificati dei provider di identità attendibili per prevenire la contraffazione.

Conclusione

Orientarsi tra le sfumature di SAML e OpenID Connect è essenziale per qualsiasi cloud architect o amministratore IT che gestisca l'identità in Microsoft Entra ID. Anche se i dibattiti sui protocolli possono accendersi, capire le differenze tecniche consente ai team di prendere decisioni architetturali pragmatiche basate sulla compatibilità delle applicazioni e sui requisiti di sicurezza. Per approfondire i meccanismi dei provider di identità, dei cicli di vita dei token e della sicurezza cloud moderna, non perdere la possibilità di ascoltare l'episodio completo e di iscriverti al podcast per approfondimenti più autorevoli sull'ecosistema Microsoft 365.

Domande frequenti

Qual è la principale differenza tecnica tra SAML e OpenID Connect?

SAML usa XML per confezionare i dati di autenticazione e le claim, risultando più pesante e complesso, mentre OpenID Connect usa i JSON Web Token (JWT) sopra OAuth 2.0, offrendo un'esperienza di sviluppo più leggera e veloce.

Microsoft Entra ID può gestire contemporaneamente sia SAML sia OIDC?

Sì, Microsoft Entra ID supporta pienamente entrambi i protocolli. Le organizzazioni usano regolarmente SAML per le applicazioni aziendali legacy insieme a OIDC per il software cloud-native moderno all'interno dello stesso tenant.

Quando un'organizzazione dovrebbe scegliere OpenID Connect invece di SAML?

Le organizzazioni dovrebbero scegliere OpenID Connect quando sviluppano o integrano applicazioni web moderne, applicazioni a pagina singola (SPA) e app mobili che richiedono scambi di token rapidi e leggeri e un'implementazione semplificata per gli sviluppatori.

Scegliere SAML al posto di OIDC compromette la sicurezza in Microsoft Entra ID?

No, entrambi i protocolli sono sicuri se configurati correttamente. Tuttavia, la loro sicurezza dipende in larga misura da un'autenticazione a più fattori (MFA) solida e dalla protezione dei token da furto o dirottamento della sessione.