Passaggi per analizzare l'utilizzo delle entità servizio nel tuo tenant Microsoft 365

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Verifica l'utilizzo delle entità servizio con Microsoft Graph e l'attività di accesso. Esplora le autorizzazioni necessarie, le identità delle app, il monitoraggio e la gestione degli accessi.

Automatically translated with AI from the original post. Read the English original

Analizzare l'utilizzo delle entità servizio con Service Principal Analysis è fondamentale per proteggere il tuo tenant Microsoft 365. Monitorando le entità servizio puoi individuare potenziali rischi, come lo shadow IT e configurazioni di sicurezza deboli. Gli aspetti chiave su cui concentrarsi sono:

• Account amministrativi non gestiti

• Autenticazione a più fattori (MFA) non uniforme

• Condivisione esterna senza supervisione

Comprendere l'attività di accesso tramite Service Principal Analysis ti aiuta a rilevare schemi anomali e a gestire l'accesso in modo efficace. Questo approccio proattivo non solo riduce i rischi, ma garantisce la conformità ai requisiti normativi, rendendo l'ambiente più sicuro e più facile da gestire.

Punti chiave

• Monitora regolarmente l'attività di accesso delle entità servizio per rilevare schemi anomali e rafforzare la sicurezza.

• Assicurati di disporre delle autorizzazioni necessarie, come AuditLog.Read.All, per analizzare efficacemente l'utilizzo delle entità servizio.

• Applica il principio del privilegio minimo concedendo a ogni entità servizio solo le autorizzazioni essenziali.

• Automatizza i processi di monitoraggio con strumenti come AdminDroid per semplificare la gestione e migliorare la sicurezza.

• Documenta lo scopo e le autorizzazioni di ogni entità servizio per mantenere chiarezza e conformità.

1. Le entità servizio rappresentano l'identità delle app all'interno del tuo tenant Microsoft 365: l'oggetto applicazione è la definizione globale, mentre l'entità servizio è l'identità locale usata per l'autenticazione, le assegnazioni di ruolo e il controllo degli accessi nel tuo tenant Microsoft 365. Monitorare l'utilizzo delle entità servizio nel tenant è quindi essenziale per capire chi e cosa può accedere alle risorse.
2. Più entità servizio possono corrispondere a una sola applicazione: un singolo oggetto applicazione può avere entità servizio distinte in più tenant, ognuna con credenziali, consensi e assegnazioni di ruolo diversi, consentendo allo stesso codice applicativo di comportarsi in modo diverso tra i vari tenant Microsoft 365.
3. I tipi di credenziali influiscono sulla superficie di attacco: le entità servizio possono usare segreti client, certificati o identità federate. I segreti a lunga durata ampliano la superficie di attacco nel tuo tenant Microsoft 365, mentre l'autenticazione basata su certificati o federata può ridurre il rischio se configurata correttamente.
4. Le autorizzazioni delegate e quelle applicative creano rischi diversi: le autorizzazioni solo applicative concesse a un'entità servizio consentono l'accesso indipendentemente da qualsiasi utente e possono essere più potenti di quelle delegate. Le autorizzazioni applicative configurate in modo errato sono una causa frequente di un utilizzo eccessivo di privilegi delle entità servizio nel tuo tenant Microsoft 365.
5. Consenso utente e consenso amministratore differiscono per ambito: gli utenti possono acconsentire ad alcune autorizzazioni delegate per le app, mentre per le autorizzazioni applicative a rischio più elevato è richiesto il consenso dell'amministratore. Tracciare gli eventi di consenso aiuta a rilevare utilizzi inattesi delle entità servizio nel tuo tenant Microsoft 365.
6. Le identità gestite semplificano il ciclo di vita ma sono vincolate al tenant: le identità gestite di Azure AD (assegnate dal sistema o dall'utente) creano automaticamente entità servizio per le risorse, semplificando la gestione delle credenziali nel tuo tenant Microsoft 365, ma non possono essere trasferite tra tenant, quindi lo spostamento delle risorse richiede una riconfigurazione.
7. Accesso condizionale ed gestione dei diritti si applicano anche alle app: puoi applicare criteri di accesso condizionale e usare la gestione dei diritti per governare l'uso delle entità servizio nel tuo tenant di Microsoft 365, ma i criteri devono essere valutati esplicitamente per i contesti delle app, così da prevenire accessi non autorizzati alle app o movimenti laterali.

Prerequisiti per l'analisi delle entità servizio

Prima di iniziare ad analizzare l'uso delle entità servizio, assicurati di avere le autorizzazioni e gli strumenti giusti. Questa preparazione ti aiuterà a condurre un'analisi approfondita e a gestire le entità servizio in modo efficace.

Autorizzazioni necessarie

Per analizzare l'attività delle entità servizio in Microsoft Entra e Microsoft 365 ti servono autorizzazioni specifiche. La tabella seguente descrive l'ambito di autorizzazione necessario:

Senza le autorizzazioni corrette potresti riscontrare errori. Ad esempio, se visualizzi il messaggio "Privilegi insufficienti per completare l'operazione", significa che non hai l'accesso necessario. Questa limitazione può ostacolare la tua capacità di gestire e analizzare le entità servizio in modo efficace.

Strumenti e risorse

Usare gli strumenti giusti può semplificare il processo di analisi. Ecco alcuni strumenti efficaci per l'analisi delle entità servizio negli ambienti di Microsoft 365:

Per iniziare con PowerShell, segui questi passaggi:

1. Connettiti a Microsoft Graph PowerShell usando: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Esegui il comando per controllare gli accessi delle entità servizio:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

Assicurandoti di avere le autorizzazioni e gli strumenti giusti, ti prepari a un'analisi efficace delle entità servizio.

Creazione di entità servizio in Microsoft Entra

Creare un'entità servizio in Microsoft Entra significa registrare un'applicazione. Questo processo permette alla tua applicazione di autenticarsi e accedere alle risorse in modo sicuro. Ecco come puoi registrare un'applicazione:

Registrazione di un'applicazione

Per registrare un'applicazione in Microsoft Entra, segui questi passaggi:

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Vai su Applicazioni e seleziona Nuova registrazione.

3. Compila i dettagli richiesti, come il nome dell'applicazione e l'URI di reindirizzamento.

4. Scegli il tipo di account più adatto alle tue esigenze.

5. Fai clic su Registra per completare il processo.

Dopo la registrazione, puoi creare un'entità servizio. Questa entità servizio funge da identità per la tua applicazione quando interagisce con altri servizi.

Per creare un'entità servizio in Microsoft Entra puoi usare diversi metodi. Tra questi:

• Caricare un certificato attendibile emesso da un'autorità di certificazione.

• Creare e caricare un certificato autofirmato a scopo di test.

• Creare un nuovo segreto client.

Ogni metodo ha un caso d'uso specifico, quindi scegli quello più adatto ai requisiti della tua applicazione.

Identificare chi ha avviato la creazione

Sapere chi ha avviato la creazione dell'entità servizio è fondamentale per la sicurezza e per l'audit. Puoi tenere traccia di queste informazioni seguendo questi passaggi:

1. Accedi all'interfaccia di amministrazione di Microsoft Entra.

2. Vai su Monitoraggio e integrità e seleziona Log di controllo.

3. Imposta Categoria su ApplicationManagement e applica il filtro.

4. Filtra Attività su Aggiungi entità servizio e applica il filtro.

5. Seleziona un evento ed espandi Dettagli aggiuntivi. Cerca proprietà come ServicePrincipalProvisioningType, SubscribedSkus e AppOwnerOrganizationId.

Tenere traccia dell'initiator ti aiuta a capire chi sta creando le entità servizio e perché. Queste informazioni sono fondamentali per mantenere la sicurezza e la conformità all'interno della tua organizzazione.

Ecco un riepilogo degli attributi che puoi trovare nei log di controllo:

Comprendendo l'initiator dell'entità servizio, puoi rafforzare la tua postura di sicurezza e assicurarti che solo gli utenti autorizzati creino entità servizio.

Visualizzare l'attività di accesso con Microsoft Graph

Accesso all'API di Microsoft Graph

Per accedere ai log di accesso delle entità servizio, puoi usare l'API di Microsoft Graph. Segui questi passaggi per recuperare i dati necessari:

1. Usa l'API di Microsoft Graph per generare un report sull'attività di accesso delle entità servizio.

2. Esegui il comando Get-MgServicePrincipal per recuperare le entità servizio nel tuo tenant.

3. Crea una tabella hash degli identificatori delle applicazioni e dei nomi visualizzati. Questo passaggio è importante perché i record di accesso non includono i nomi delle app.

4. Esegui Get-MgBetaReportServicePrincipalSignInActivity per trovare l'attività di accesso delle entità servizio con una data dell'ultimo accesso precedente a un anno fa.

5. Crea un report sulle entità servizio ed esporta i dati in un file CSV.

6. Genera statistiche come i tenant proprietari delle app e il numero totale di entità servizio.

Seguendo questi passaggi, puoi accedere ai log di accesso delle tue entità servizio e analizzarli in modo efficace.

Analisi dei log di accesso

Monitorare l'attività di accesso è essenziale per individuare tentativi di accesso non autorizzati. Osservando sia gli accessi riusciti sia quelli non riusciti, puoi individuare schemi insoliti che potrebbero indicare minacce alla sicurezza. Questo monitoraggio proattivo aiuta a gestire i potenziali rischi legati alle credenziali compromesse, migliorando così la sicurezza complessiva del tuo tenant di Microsoft 365.

Ecco alcune anomalie comuni che potresti rilevare nei log di accesso delle entità servizio:

• Utilizzo insolito delle applicazioni, come applicazioni inattive o dimenticate che tornano ad essere utilizzate.

• Relazioni di attendibilità inattese aggiunte ad Azure AD.

• Modifiche alle credenziali delle entità servizio, incluse variazioni delle autorizzazioni.

Per analizzare efficacemente i log di accesso, considera queste strategie:

1. Monitora l'attività di accesso tramite l'interfaccia di amministrazione di Microsoft Entra per visualizzare gli accessi delle entità servizio delle ultime 24 ore.

2. Identifica le entità servizio a rischio analizzando i log di accesso alla ricerca di schemi insoliti.

3. Usa strumenti come Microsoft Entra e PowerShell per un'analisi dettagliata dei log di accesso.

Implementando queste strategie, puoi migliorare la tua capacità di rilevare attività di accesso sospette e intraprendere le azioni appropriate per proteggere il tuo ambiente.

Gestire le entità servizio in modo efficace

Procedure consigliate di gestione

Per gestire le entità servizio in modo efficace, dovresti seguire diverse procedure consigliate. Implementare queste strategie migliorerà la sicurezza e semplificherà le operazioni all'interno del tuo tenant:

• Principio del privilegio minimo: concedi a ciascuna entità servizio solo le autorizzazioni necessarie. In questo modo si limita il danno potenziale in caso di compromissione di un'entità servizio.

• Rotazione periodica delle credenziali: ruota le credenziali regolarmente e automatizza il processo ogni volta che è possibile. Questo riduce il rischio di usare credenziali obsolete o compromesse.

• Monitoraggio dell'attività: tieni d'occhio l'attività delle entità servizio per individuare eventuali comportamenti sospetti. Questo ti aiuta a rilevare tempestivamente i tentativi di accesso non autorizzati.

• Autenticazione robusta: usa metodi di autenticazione robusti, come l'autenticazione a più fattori (MFA). Questo aggiunge un ulteriore livello di sicurezza.

• Archiviazione sicura delle credenziali: conserva e gestisci le credenziali delle entità servizio in modo sicuro, utilizzando una soluzione di gestione dei segreti. Evita di memorizzare le credenziali nel codice o nei file di configurazione.

• Documentazione: documenta lo scopo e le autorizzazioni di ciascuna entità servizio. Questa pratica aiuta a comprendere il loro ruolo all'interno del tuo tenant.

• Criteri di governance: definisci criteri di governance chiari per la gestione delle entità servizio. Verifica e controlla regolarmente le autorizzazioni per garantire la conformità.

Automatizzare il monitoraggio

Automatizzare il monitoraggio delle entità servizio può migliorare in modo significativo la tua postura di sicurezza. Ecco alcuni strumenti e strategie da considerare:

• AdminDroid: questo strumento offre una funzionalità di monitoraggio delle attività di accesso. Ti aiuta a tenere traccia dei modelli di accesso delle entità servizio e fornisce report dettagliati sull'utilizzo e sulle tendenze di accesso.

• Report sulle modifiche alle entità servizio: AdminDroid offre anche un report che monitora le modifiche alle entità servizio. Il report riporta aggiunte, aggiornamenti e rimozioni, insieme alle attività di accesso, come orario, nome dell'applicazione, stato e posizione.

Automatizzando il monitoraggio ottieni diversi vantaggi:

Implementare queste pratiche e questi strumenti ti aiuterà a gestire in modo efficace le entità servizio e a mantenere un ambiente sicuro nel tuo tenant di Microsoft 365.

In sintesi, analizzare l'utilizzo delle entità servizio è fondamentale per proteggere il tuo tenant di Microsoft 365. Dovresti monitorare regolarmente l'attività di accesso, gestire le autorizzazioni e seguire le migliori pratiche. Ecco alcuni punti chiave per migliorare la gestione delle entità servizio:

Applicando queste strategie potrai rafforzare la postura di sicurezza e garantire una gestione efficace delle entità servizio nella tua organizzazione.

Domande frequenti

Che cos'è un'entità servizio in Microsoft 365?

Un'entità servizio funge da identità per le applicazioni che devono accedere alle risorse in modo sicuro. Consente alle applicazioni di autenticarsi senza bisogno delle credenziali di un utente.

Come posso monitorare l'attività delle entità servizio?

Puoi monitorare l'attività delle entità servizio usando Microsoft Graph API o strumenti come AdminDroid. Questi strumenti forniscono informazioni sui modelli di accesso e sulle tendenze di utilizzo.

Perché è importante analizzare l'utilizzo delle entità servizio?

Analizzare l'utilizzo dei service principal ti aiuta a individuare rischi per la sicurezza, gestire le autorizzazioni e garantire la conformità. Rafforza anche la postura di sicurezza complessiva.

Quali autorizzazioni servono per analizzare i service principal?

Per analizzare l'attività dei service principal in Microsoft Entra e Microsoft 365 ti serve l'autorizzazione AuditLog.Read.All. Questa autorizzazione consente di accedere ai log necessari.

Come posso automatizzare il monitoraggio dei service principal?

Puoi automatizzare il monitoraggio con strumenti come AdminDroid. Questi strumenti possono generare report sull'attività di accesso e sulle modifiche ai service principal, semplificando le attività di gestione.

application object di Microsoft Entra ID e creazione di un service principal

Che cos'è un service principal e in che rapporto si trova con gli application object in Microsoft Entra ID?

Un service principal è l'entità di sicurezza che rappresenta un'applicazione o un servizio nel tuo tenant Microsoft Entra. È collegato a un application object (la definizione globale): il service principal è l'istanza creata nel tuo tenant quando registri o concedi il consenso a un'applicazione. L'ID applicazione e il client ID collegano i due oggetti, e quando esiste un service principal in Microsoft Entra vedrai sia gli application object sia gli oggetti service principal.

Come creo un service principal nel mio tenant Microsoft 365?

Puoi creare l'entità servizio registrando una registrazione di app nell'interfaccia di amministrazione di Microsoft Entra oppure tramite l'interfaccia della riga di comando di Azure (Azure CLI) o Microsoft Graph PowerShell SDK. I passaggi tipici sono creare l'applicazione (oggetto applicazione), quindi creare l'entità servizio nel tuo tenant home o in un tenant proprietario, assegnare le autorizzazioni e generare le credenziali (segreto client o certificato). Per gli script automatizzati, usa azure cli az ad sp create-for-rbac oppure Microsoft Graph PowerShell SDK per creare l'entità servizio.

Dove trovo i dettagli dei service principal e come analizzo la loro attività di accesso?

I dettagli dei service principal sono disponibili nell'interfaccia di amministrazione di Microsoft Entra, in «Applicazioni aziendali» o «Registrazioni app» a seconda del tipo. Puoi visualizzare proprietà come nome del service principal, ID applicazione, ID tenant e ruoli assegnati. Per analizzare l'attività di accesso dei service principal, usa i log di accesso di Microsoft Entra oppure interroga i report di accesso tramite Microsoft Graph, così da esaminare gli eventi di autenticazione, la creazione dei service principal e la telemetria degli accessi.

In che modo i criteri di accesso e le impostazioni di autenticazione influiscono su un nuovo service principal?

I criteri di accesso e le impostazioni di autenticazione determinano a quali risorse può accedere un service principal e come si autentica. Configura gli application object e i service principal secondo il principio del privilegio minimo, assegna i ruoli sulle risorse e usa l'accesso condizionale e i criteri di accesso nell'interfaccia di amministrazione di Microsoft Entra. Scegli i metodi di autenticazione (client secret, certificato o identità gestita) in linea con gli aggiornamenti di sicurezza e le best practice, per ridurre il rischio.

Le applicazioni first-party di Microsoft o i servizi Microsoft possono creare service principal nel mio tenant?

Sì. Le applicazioni first-party di Microsoft e i servizi Microsoft creano spesso oggetti service principal in Microsoft Entra ID quando vengono utilizzati nel tuo tenant. Possono comparire come app di Entra o come applicazioni first-party di Microsoft. Alcuni servizi Microsoft creano service principal automaticamente durante l'onboarding; puoi esaminarli e controllarli nell'interfaccia di amministrazione di Microsoft Entra e applicare l'accesso just-in-time dove supportato.

Come gestisco le autorizzazioni e gli oggetti principal in Microsoft Entra per ridurre il rischio?

Controlla gli eventi di creazione dei service principal, esamina le autorizzazioni concesse agli oggetti service principal in Microsoft Entra ID e rimuovi i privilegi in eccesso. Usa le assegnazioni di ruolo, le autorizzazioni di applicazione invece di quelle delegate quando appropriato, implementa l'accesso condizionale e il provisioning just-in-time oppure l'idoneità just-in-time dei service principal, e ruota le credenziali con regolarità. Per indicazioni prescrittive sulla sicurezza e procedure di supporto tecnico, consulta Microsoft Learn e altre risorse aggiuntive.

Quali strumenti posso usare per automatizzare l'ispezione e la creazione dei service principal (PowerShell, Azure CLI)?

Puoi usare Microsoft Graph PowerShell SDK, Azure CLI o le API di Microsoft Graph per automatizzare la creazione e l'ispezione delle entità servizio. Comandi come az ad sp create-for-rbac e gli equivalenti nell'SDK di Microsoft Graph PowerShell ti permettono di creare l'entità servizio e di ottenere client ID, application ID e tenant ID. Gli script possono anche enumerare gli oggetti entità servizio in Microsoft Entra e raccogliere dati di accesso o di autorizzazione per la reportistica.

Come faccio a sapere se un'entità servizio è stata creata da un'applicazione client o da un account Microsoft?

Esamina i dettagli dell'entità servizio nell'interfaccia di amministrazione di Microsoft Entra oppure interroga Microsoft Graph per visualizzare proprietà come proprietario dell'app, editore e tipo di applicazione di origine. Le entità servizio create da un'applicazione client fanno riferimento a un application ID/client ID e spesso mostrano l'entità che le ha create e il timestamp di creazione. Le entità servizio Microsoft create per i servizi Microsoft o per le app first-party di Microsoft includono in genere l'editore o identificatori Microsoft noti.

Dove posso trovare risorse e indicazioni aggiuntive su Office 365 for IT Pros e sulle procedure consigliate per le entità servizio?

Consulta Microsoft Learn, la documentazione dell'interfaccia di amministrazione di Microsoft Entra, le guide della piattaforma di identità Microsoft e gli articoli dedicati a Office 365 for IT Pros. Altre risorse utili sono la documentazione di Microsoft Graph, i riferimenti di Azure CLI e dell'SDK di Microsoft Graph PowerShell e gli aggiornamenti di sicurezza pubblicati da Microsoft. Per scenari complessi, contatta il supporto tecnico oppure consulta i lab di Microsoft Learn sugli oggetti applicazione ed entità servizio creati nel tuo tenant.