Temporary Access Pass non funziona: guida alla risoluzione dei problemi

By Mirko Peters · 2026-04-23

Se sei qui, è probabile che il tuo Temporary Access Pass (TAP) non ti permetta (o non permetta ai tuoi utenti) di accedere come previsto. Magari scade, viene bloccato o compare un errore che non hai mai visto prima. Questa guida ti spiega senza giri di parole come diagnosticare e risolvere i problemi di TAP in Microsoft Entra ID.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

Vedremo cos'è TAP, perché a volte non funziona e come criteri o problemi del dispositivo possano complicare le cose. Che tu gestisca l'IT o che tu stia solo cercando di rientrare nel tuo account, troverai spiegazioni chiare, liste di controllo per la risoluzione dei problemi e consigli pratici. Ti serve solo la voglia di approfondire e di provare alcune soluzioni: andiamo a fondo una volta per tutte con i problemi di TAP.

Introduzione a Temporary Access Pass e problemi comuni

Temporary Access Pass, o TAP in breve, è il modo con cui Microsoft consente agli utenti di accedere con un codice monouso a tempo limitato, senza dover prima impostare una password. È uno strumento utile, soprattutto quando un utente è bloccato fuori dall'account, durante l'onboarding o quando si configura per la prima volta l'accesso senza password. TAP serve a offrire un accesso sicuro e temporaneo: entri, ti configuri e passi a metodi di autenticazione più solidi.

Come ogni buono strumento di sicurezza, però, TAP ha regole e componenti da gestire. A volte incontra un ostacolo: un pass scaduto, una configurazione sbagliata, criteri aziendali o particolarità del dispositivo. Capire per cosa è progettato TAP e dove può fallire è un passo importante per accessi più fluidi. Vediamo quali sono i motivi più comuni per cui TAP non fa ciò che dovrebbe.

Limitazioni comuni e cause del mancato accesso con TAP

Pass scaduto: i codici TAP sono validi solo per un periodo definito. Se aspetti troppo, ne servirà uno nuovo.
Criteri di accesso condizionale: le regole di sicurezza possono bloccare l'accesso con TAP se il dispositivo o l'app non è conforme o attendibile secondo i criteri aziendali.
Problemi di dispositivo o browser: alcuni browser (come Safari o Firefox) e dispositivi non Windows potrebbero non funzionare bene con i flussi di TAP, bloccando l'accesso.
Autenticazione configurata in modo errato: se TAP non è abilitato o non è configurato correttamente per il tenant o per l'utente, non funzionerà: semplice come sembra.
Blocco dell'utente o delle credenziali: l'account utente potrebbe essere bloccato per l'accesso oppure TAP potrebbe essere limitato dai criteri di rischio utente impostati in Entra ID.

Prerequisiti e configurazione per l'autenticazione con Temporary Access

Prima che un Temporary Access Pass possa funzionare per chiunque, bisogna mettere a punto le basi. Innanzitutto, verifica che la tua organizzazione disponga delle licenze Microsoft 365 o Azure Active Directory richieste: TAP funziona solo se queste condizioni sono soddisfatte. Inoltre, è necessario assegnare i ruoli amministrativi corretti. Di solito, a configurare e gestire TAP sono i ruoli Amministratore dell'autenticazione, Amministratore dell'autenticazione privilegiata o Amministratore globale in Microsoft Entra ID.

Una volta individuate le persone giuste, TAP deve essere abilitato come metodo di autenticazione nell'interfaccia di amministrazione di Microsoft Entra. Vai alla sezione Metodi di autenticazione, seleziona Temporary Access Pass e definisci i criteri che stabiliscono chi può usarlo, per quanto tempo e quanti pass possono essere emessi contemporaneamente per ciascun utente.

Non dimenticarlo: se gli utenti useranno TAP per registrare metodi senza password come le chiavi FIDO2 o Microsoft Authenticator, assicurati che anche queste opzioni siano abilitate nei criteri. Trascurare questi dettagli è un modo facile per bloccare involontariamente gli utenti che dovrebbero usare TAP come previsto.

Dedicare tempo a verificare in anticipo tutti questi prerequisiti e configurazioni ti eviterà parecchi grattacapi in fase di risoluzione dei problemi. Se qualcosa non va con licenze, ruoli o configurazione dei criteri, TAP non funzionerà, e i messaggi di errore non sempre sono chiari.

Compatibilità dei dispositivi, problemi del browser e configurazione dei dispositivi Windows

Anche se TAP è configurato perfettamente, può incontrare intoppi sul dispositivo o nel browser dell'utente. L'esperienza può essere fluida su una piattaforma e impuntarsi su un'altra. Nella maggior parte delle realtà IT, i dispositivi Windows 10 e 11 offrono il miglior supporto per TAP, soprattutto quando si registrano nuovi dispositivi o credenziali senza password.

Questo non significa che ogni scenario vada liscio. A volte il problema sta nel browser. Ad esempio, è noto che Safari e Firefox causano problemi durante i flussi di accesso con TAP: reindirizzamenti che non funzionano, cookie mancanti o script che non terminano mai. Se un accesso funziona su Chrome o Edge ma non altrove, è probabile che il problema dipenda da particolarità del browser. Spesso basta cambiare browser o abilitare impostazioni specifiche relative a cookie e JavaScript per risolvere la situazione.

Le cose si complicano quando entrano in gioco macOS, iOS, Android o Linux. Compaiono delle limitazioni, come la mancanza di supporto per l'accesso tramite web o l'impossibilità di usare il TAP durante la registrazione del dispositivo. Se gli utenti non riescono a superare l'autenticazione TAP su queste piattaforme, è importante verificare sia la documentazione ufficiale sia le limitazioni note dei dispositivi e, a volte, ricorrere a soluzioni alternative.

Durante la configurazione dei dispositivi Windows, a volte compaiono errori durante la registrazione tramite TAP, soprattutto se i criteri richiesti o le impostazioni di sicurezza non sono ancora applicati. Verifica con attenzione gli aggiornamenti, le connessioni di rete necessarie e gli eventuali requisiti di conformità del dispositivo che potrebbero bloccare l'autenticazione TAP in questa fase iniziale.

Criteri di accesso condizionale che bloccano l'autenticazione con passaggio di accesso temporaneo

I criteri di accesso condizionale (CA) sono i guardiani silenziosi della sicurezza in Microsoft Entra ID. Possono bloccare l'accesso con TAP anche quando tutto il resto sembra corretto. Ad esempio, un'azienda potrebbe richiedere che tutti gli accessi provengano da dispositivi conformi oppure solo da app client approvate. I flussi TAP, soprattutto durante il primo accesso o la configurazione del dispositivo, non sempre soddisfano questi requisiti, quindi l'utente viene fermato sulla porta.

Anche i criteri di Identity Protection possono prevalere sul TAP, contrassegnando utenti o accessi come rischiosi e negando l'accesso, indipendentemente dalla validità del passcode. Questi livelli di sicurezza automatizzata aggiungono protezione, ma a volte rendono poco chiaro il motivo per cui un TAP perfettamente valido non funziona.

Per gli amministratori è fondamentale verificare sia le impostazioni di CA sia quelle di Identity Protection. Cerca i criteri che richiedono la conformità del dispositivo o limitano gli accessi in base ai rilevamenti di rischio. A volte il "problema" è un conflitto tra criteri, non una configurazione tecnica errata. Esaminare i log pertinenti e modificare i criteri, magari con eccezioni a tempo limitato per l'onboarding con TAP, spesso risolve il mistero.

Se ti trovi alle prese con conflitti nascosti tra criteri di accesso condizionale o cerchi strategie pratiche per creare criteri affidabili e sicuri, consulta risorse come questa guida completa sui problemi di affidabilità dell'accesso condizionale oppure l'episodio su i cicli di sicurezza dell'accesso condizionale in Entra ID. Entrambi approfondiscono le insidie dei criteri e le relative soluzioni, senza indebolire la postura di sicurezza.

Risoluzione dei problemi di scadenza, blocchi utente ed errori dei criteri

Verifica la scadenza del passaggio di accesso: controlla che il codice TAP sia ancora nel periodo di validità configurato. Se è scaduto, emetti un nuovo passaggio dall'interfaccia di amministrazione e riprova.
Esamina i messaggi di accesso bloccato: se compare "l'accesso con passaggio di accesso è stato bloccato", approfondisci le impostazioni dei criteri di accesso condizionale o delle credenziali. Verifica che gli accessi TAP siano consentiti per questo utente e non limitati dai requisiti del dispositivo.
Controlla lo stato dell'utente: l'account utente potrebbe essere bloccato o disabilitato in Entra ID. Verifica la presenza di blocchi attivi in Azure AD e risolvili prima di emettere di nuovo il TAP.
Analizza gli errori dei criteri: esamina i criteri di accesso condizionale e di Identity Protection per individuare modifiche recenti. Controlla i log di accesso per gli errori legati ai criteri e, se necessario, consenti i flussi TAP come eccezioni durante l'onboarding.
Risoluzione dei problemi di dispositivo e browser: se nient'altro funziona, fai passare l'utente a un browser basato su Chromium o a un dispositivo Windows supportato per il processo TAP. In questo modo si aggirano molti problemi di compatibilità e di criteri.

Registrazione delle chiavi di sicurezza e uso di TAP con Microsoft Authenticator

Quando il TAP svolge il suo compito principale, ovvero consentire a un utente di accedere per la configurazione senza password, dovrebbe essere una soluzione una tantum. Usa quel passaggio temporaneo per accedere, quindi registra subito un metodo di autenticazione più permanente e sicuro. Microsoft Authenticator è la scelta abituale in questo caso, perché permette di configurare in pochi tocchi l'accesso senza password basato su app o le richieste di autenticazione a due fattori.

Per gli utenti che necessitano di una sicurezza più elevata, le chiavi di sicurezza FIDO2 offrono un'autenticazione a livello hardware. Durante il primo accesso con TAP, l'utente può registrare una chiave FIDO2, che può essere una chiavetta USB, un dispositivo NFC o un token biometrico, in base a ciò che consentono la policy aziendale (e il budget IT).

Windows Hello for Business completa il quadro, supportando riconoscimento facciale, impronta digitale o PIN. Dopo aver effettuato l'accesso con un TAP, l'utente deve semplicemente andare nella pagina delle informazioni di sicurezza e aggiungere Windows Hello come opzione di accesso, così da poter rientrare in modo rapido e senza password in futuro.

In breve: non lasciare che il TAP sia l'unica linea di difesa. Usalo per aprire la porta, poi configura la combinazione preferita di app Authenticator, chiavi o dati biometrici per chiuderla alle tue spalle, per bene e in sicurezza.

Best practice per la gestione del ciclo di vita del Temporary Access Pass

Monitora l'utilizzo e la scadenza dei pass: controlla regolarmente i TAP emessi per assicurarti che non restino attivi codici scaduti e che i TAP non utilizzati vengano eliminati.
Sostituisci o rimuovi i vecchi TAP: ogni volta che un utente aggiorna o registra nuovi metodi di autenticazione, rimuovi i suoi vecchi TAP per evitare che restino dimenticati (e insicuri).
Comunica chiaramente le transizioni: fai sapere agli utenti che devono configurare metodi senza password permanenti subito dopo aver usato il TAP, così il loro accesso resta sicuro e senza interruzioni.
Verifica regolarmente i criteri: tieni sotto controllo i criteri di accesso condizionale e quelli specifici per i TAP, per individuare eventuali derive di configurazione o blocchi non voluti man mano che le esigenze dell'organizzazione cambiano.

Ottenere supporto, fornire feedback e passaggi per la guida agli utenti

Anche con la configurazione migliore, possono comparire problemi con i TAP, quindi è importante sapere a chi rivolgersi. Per gli utenti, una guida interna chiara semplifica le cose: offri istruzioni semplici su cosa fare se il TAP non funziona, come controllare la scadenza, provare un altro browser o contattare l'IT prima che la frustrazione aumenti.

Prepara in anticipo i team di helpdesk e amministrazione. Forniscili di checklist per la risoluzione dei problemi, un riepilogo dei messaggi di errore più comuni e procedure rapide per revocare e riemettere i TAP. Incoraggiali a consultare i log di accesso e i criteri di accesso condizionale: questi strumenti accelerano la diagnosi ed evitano escalation non necessarie dei ticket.

Se il problema supera le capacità del tuo team, vale la pena consultare le pagine di supporto di Microsoft, i forum della community e la guida integrata nel prodotto. Non esitare a inviare a Microsoft un feedback se noti delle ricorrenze, che riguardino l'usabilità o lacune del prodotto. Molte funzionalità e correzioni sono arrivate grazie al feedback onesto di utenti e amministratori.

Alla fine, mantenere canali di comunicazione aperti è importante quanto qualsiasi soluzione tecnica. Quando tutti sanno cosa aspettarsi e dove trovare aiuto, il TAP smette di essere un ostacolo e diventa il ponte fluido per cui è stato pensato.