Guida ai prezzi di Microsoft Entra External Identities

By Mirko Peters · 2026-04-29 · Updated 2026-07-28

Scopri i prezzi di Microsoft Entra External Identities con indicazioni pratiche su architettura, sicurezza, governance, implementazione e casi d'uso reali.

Automatically translated with AI from the original post. Read the English original

I prezzi di Microsoft Entra External Identities si basano sugli utenti attivi mensili e sui servizi utilizzati dallo scenario di clienti, partner o ospiti. Per stimare i costi, definisci il tipo di identità, il numero previsto di utenti attivi mensili, i metodi di autenticazione e gli eventuali requisiti premium di sicurezza o supporto. Verifica sempre l'offerta attuale e i prezzi regionali prima di definire un'architettura o un budget.

Se stai implementando Microsoft Entra ID per gli utenti esterni, probabilmente ti sei già posto la domanda sul prezzo. I prezzi delle identità esterne in Entra non sono una nota a margine: incidono su ogni discussione su accesso, collaborazione e sicurezza nelle organizzazioni moderne. In sostanza, si paga in base alla frequenza con cui gli utenti esterni interagiscono con le tue risorse, e questo viene misurato con il modello di fatturazione basato sugli utenti attivi mensili (MAU, Monthly Active User).

Capire nel dettaglio come Entra conta gli utenti, collega i tenant alle sottoscrizioni e somma i metodi di autenticazione è essenziale per amministratori IT e responsabili di progetto. Supposizioni sbagliate possono portare a una fattura inattesa o compromettere la strategia di gestione degli utenti. Ogni accesso e ogni configurazione del tenant può modificare i costi operativi, quindi conoscere le regole in anticipo ti permette di pianificare, fare budget e scalare senza brutte sorprese.

Come funziona il modello di fatturazione esterna in Entra ID

Il fondamento del modello di fatturazione esterna di Microsoft Entra ID è il MAU, ovvero l'utente attivo mensile. Invece di pagare una licenza per ogni contatto esterno, Entra ID addebita solo le persone che effettuano l'accesso o si autenticano in un determinato mese. Questo approccio allinea la spesa al reale utilizzo e rende le previsioni di costo molto più prevedibili.

Entra ID applica fasce di prezzo in base al numero di MAU. Le organizzazioni più piccole possono rimanere nel piano gratuito, che copre un numero definito di MAU esterni al mese. Con la crescita dell'utilizzo, i costi delle identità esterne passano alle fasce a pagamento, con un prezzo per utente leggermente inferiore all'aumentare dei volumi. Il modello include diverse funzionalità in ciascuna fascia, come l'autenticazione di base e la reimpostazione self-service della password, mentre le funzionalità premium sono disponibili nei livelli superiori.

I cicli di fatturazione in Entra ID di norma sono mensili e coincidono con l'azzeramento dei MAU. Ogni ciclo considera chi ha eseguito un'autenticazione valida, indipendentemente da quante volte la stessa persona accede nel mese. La fattura riflette il numero massimo di utenti attivi unici in un dato periodo, quindi un utente attivo che effettua dieci accessi conta comunque come uno solo ai fini dei costi. Le organizzazioni possono monitorare questi andamenti in tempo reale, il che facilita la pianificazione di picchi o campagne stagionali e la definizione dei budget di conseguenza.

In definitiva, questo modello di fatturazione incoraggia un monitoraggio attento dei pattern di autenticazione, della configurazione dei tenant e dell'utilizzo delle funzionalità. Capire esattamente come l'attività si traduce in addebiti consente alle organizzazioni di ottimizzare sia l'esperienza utente sia il budget, pianificando la crescita futura e tenendo sotto controllo il risultato economico.

Cosa conta come utente attivo mensile per accessi e fatturazione

Nel mondo di Entra ID non ogni "utente" è fatturabile: contano solo quelli considerati utenti attivi mensili (MAU) per quel ciclo di fatturazione. Quindi, cosa fa scattare il conteggio? Un MAU è qualsiasi identità esterna che si autentica correttamente con il tuo tenant Entra durante il mese. Vale sia che usi il classico accesso con nome utente e password, sia OTP, accessi social o provider federati.

Ogni volta che un utente completa una nuova autenticazione, cioè un accesso nuovo o qualsiasi operazione che richiede di reinserire le credenziali, Entra lo registra. Ma ecco il punto importante: accessi ripetuti o sessioni rinnovate nello stesso mese non generano costi extra per la stessa persona. Anche se un utente entra e esce una dozzina di volte, resta un solo MAU, non dodici, e questo ti evita addebiti fuori controllo nei giorni di maggiore attività.

Alcuni eventi potrebbero sembrare conteggiabili, ma non sempre fanno salire il contatore dei MAU. Ad esempio, i rinnovi di sessione tramite refresh token o gli eventi SSO silenziosi che non riautenticano completamente l'utente, in genere non fanno aumentare di nuovo il contatore se avvengono nella stessa combinazione utente/mese. Analogamente, se un ospite passa tra più app dello stesso tenant, conta solo la sua prima autenticazione valida.

Vale la pena notare che i login con social, OTP e federazione vengono conteggiati come i login standard quando interagiscono con il tuo tenant. Tuttavia, gli utenti che operano in più tenant devono autenticarsi separatamente in ciascuno: quindi, se hai identità esterne che lavorano su più tenant, potresti vedere la stessa email comparire come più MAU (uno per tenant). Capire questi comportamenti in anticipo evita sorprese e ti permette di pianificare i flussi di identità in modo da contenere i costi.

Come collegare correttamente i tenant esterni alle sottoscrizioni di Azure

Per avere una fatturazione chiara e trasparente e mantenere un controllo solido sulle tue identità esterne di Entra ID, devi assicurarti che ogni tenant esterno sia collegato correttamente a una sottoscrizione di Azure. Questo collegamento fa da ponte per la fatturazione, la gestione del ciclo di vita e la chiarezza amministrativa complessiva.

Stabilire la relazione giusta tra un tenant esterno e una sottoscrizione di Azure fa sì che i costi siano tracciabili e prevedibili. Senza questa configurazione, tenere traccia degli addebiti, gestire i riaddebiti interni e prevenire le risorse orfane diventa rapidamente un incubo. Se fatto nel modo giusto, il collegamento offre alla tua azienda una visione semplificata dell'attività degli utenti esterni, delle risorse che consumano e della voce di costo a cui queste vanno imputate.

Man mano che il tuo patrimonio di identità cresce, soprattutto tra progetti o più unità di business, tenere organizzati i collegamenti tra tenant e sottoscrizioni favorisce la responsabilità e la governance. Ti aiuta a individuare accessi sovrapposti, a ripulire le identità inutilizzate e a reagire più rapidamente in caso di problemi. Di seguito vedremo la procedura passo passo per collegare i tenant e risolvere i problemi se la sottoscrizione non compare, così sei coperto sia che tu agisca in modo proattivo sia che tu debba rimediare a un collegamento mancato.

Passaggi per collegare una sottoscrizione di tenant esterno

1. Accedi al portale di Azure come Global Administrator o proprietario della sottoscrizione di destinazione. Per apportare modifiche a livello di sottoscrizione è richiesto il ruolo corretto.
2. Vai alla sezione Azure Active Directory, quindi passa al tenant che vuoi collegare come tenant esterno.
3. Nel tenant, vai su Sottoscrizioni e seleziona Aggiungi oppure Associa. Scegli la sottoscrizione di Azure che vuoi collegare.
4. Conferma l'associazione e assegna le autorizzazioni necessarie per garantire che gli amministratori possano gestire la fatturazione e le impostazioni sia del tenant sia della sottoscrizione collegata.
5. Dopo il collegamento, verifica i dettagli di fatturazione e le fatture nella sezione Gestione costi + fatturazione. Questo ti aiuta a individuare eventuali configurazioni errate prima che causino problemi in seguito.

Risoluzione dei problemi: cosa fare se il tenant non risulta collegato a una sottoscrizione?

• Verifica lo stato del tenant: controlla nel portale di Azure se il tenant è effettivamente orfano o se viene visualizzato in modo errato, ispezionando l'ID sottoscrizione associato al tuo tenant di Entra.
• Assegna la sottoscrizione: se il tenant non è collegato, usa i permessi di amministratore per associarlo a una sottoscrizione valida da Gestione costi + fatturazione: cerca le opzioni per "Collega tenant".
• Problemi di autorizzazione: verifica di avere il ruolo amministrativo corretto (Proprietario, Amministratore fatturazione) per evitare errori di accesso durante il collegamento.
• Risolvi i conflitti di proprietà: se il tenant non può essere associato, controlla collegamenti o trasferimenti precedenti e contatta il supporto Microsoft se incontri ostacoli persistenti.

Metodi di autenticazione e loro impatto sui prezzi di Entra ID

Quando si parla di identità esterne in Entra ID, il modo in cui gli utenti si autenticano incide direttamente su ciò che paghi. L'insieme delle opzioni di autenticazione, che si tratti di passcode monouso (OTP), login con social, nome utente e password standard, OpenID Connect o accessi nativi alle app, determina chi viene conteggiato come MAU fatturabile e in quale momento esatto.

Non tutti i metodi di accesso sono uguali, né in termini di sicurezza né di costi. Per le organizzazioni che puntano sia a un'esperienza ospite fluida sia a un controllo preciso dei costi, ogni metodo comporta compromessi. I login con social possono semplificare l'accesso ma talvolta complicano la gestione del ciclo di vita. L'OTP è semplice, ma può favorire il riutilizzo dell'autenticazione o generare ticket di supporto. OpenID Connect e i flussi nativi del browser aprono integrazioni più ampie, ma cambiano sia le abitudini di interazione degli utenti sia le dimensioni della fattura.

Capire le differenze è fondamentale, soprattutto perché attacchi all'identità e rischi per la sicurezza nascono proprio dai pattern di autenticazione avanzati. Per il contesto sui rischi centrati sull'identità e per strategie pratiche di gestione dei flussi di accesso complessi in Entra, dai un'occhiata a questo approfondimento su accesso condizionale e governance.

Passiamo ora a vedere le implicazioni sui costi dei diversi scenari di autenticazione, così puoi progettare flussi di identità che supportino sia gli utenti sia il budget.

Uso di OTP e social login: implicazioni sui prezzi

• Accessi con OTP: ogni autenticazione riuscita tramite un codice monouso (come email o SMS) conta come un MAU per il mese. Se un utente accede con OTP più volte nel mese, resta comunque un solo MAU, ma ogni prima autenticazione in ciascun periodo genera la fatturazione.
• Provider di identità social: gli accessi tramite servizi molto diffusi, come Google, Facebook o LinkedIn, registrano l'utente come MAU non appena accede a una risorsa. Gli accessi successivi nello stesso mese non vengono conteggiati due volte, ma usare account social diversi per la stessa email può generare nuovi MAU.
• Casi limite: se un utente esterno passa tra tenant diversi (ad esempio perché hai delle filiali), ogni accesso a un tenant distinto genera un ulteriore MAU. Mappare e consolidare le identità, dove possibile, può quindi ridurre i costi.

Scenari di autenticazione OpenID Connect, app native e browser

• OpenID Connect (OIDC): quando gli utenti si autenticano tramite OIDC, ogni primo accesso riuscito nel ciclo mensile equivale a un MAU. Tuttavia, OIDC supporta i refresh token: finché i token sono validi e le sessioni non scadono, un utente non viene riconteggiato come nuovo MAU.
• Autenticazione nelle app native: le app che usano le librerie native di Entra ID (ad esempio MSAL) seguono regole simili: conta il primo accesso, ma il rinnovo silenzioso del token no. App diverse nello stesso tenant non generano MAU aggiuntivi se l'utente resta attivo.
• Flussi basati su browser: le sessioni del browser possono complicare le cose. Cancellare i cookie o far scadere le sessioni può forzare una nuova autenticazione, che potrebbe risultare come nuovi MAU se avviene in una nuova sessione nel mese successivo. Tenerne conto aiuta a gestire le sessioni e a controllare i costi.

Tabella di confronto: prezzi di Entra External ID e Azure AD B2C

• Modello di prezzo: Entra External ID utilizza un modello a livelli basato sui MAU, per cui le organizzazioni pagano solo per gli utenti attivi mensili unici. Azure AD B2C era tradizionalmente basato su transazioni o su costi per singola autenticazione, anche se i modelli più recenti sono passati ai MAU per semplicità.
• Funzionalità incluse: entrambi offrono, nel livello base, reimpostazione self-service della password, autenticazione a più fattori e gestione degli utenti. Entra External ID tende a offrire un'integrazione più profonda con Microsoft 365, mentre B2C si concentra su scenari rivolti ai clienti con percorsi utente personalizzabili.
• Opzioni di supporto: il supporto di Entra External ID rientra nei canali di supporto Microsoft standard. B2C offre propri livelli di supporto, ma per risposte con SLA potrebbe essere necessario un piano premium.
• Casi d'uso: Entra External ID è la scelta migliore per la collaborazione business-to-business, con partner o ospiti (soprattutto negli ecosistemi M365 e Azure). Azure AD B2C è preferibile per le applicazioni business-to-customer (B2C) che richiedono branding white-label e percorsi di accesso flessibili.
• Considerazioni sulla migrazione: passare da B2C a Entra ID richiede un'attenta mappatura delle identità, ma offre una governance più stringente; c'è però il rischio di vendor lock-in. Per indicazioni sulla migrazione, tieni d'occhio le linee guida sulla dipendenza dal fornitore e sui rilasci graduali.

Best practice per l'ottimizzazione dei costi in scenari ad alto volume

Se la tua organizzazione gestisce grandi afflussi di persone o vede aumentare di colpo il numero di utenti esterni, ad esempio in occasione di conferenze, eventi di vendita al dettaglio o lanci di progetti rapidi, conosci bene il problema delle fatture imprevedibili. Il modello di fatturazione per utenti esterni di Entra ID è equo, ma c'è comunque parecchio rischio se non si ottimizzano la gestione delle sessioni e i flussi di autenticazione.

Una configurazione attenta della durata dei token, dei criteri di rinnovo e dei timeout per inattività aiuta molto a mantenere stabile il numero di MAU. Estendendo le sessioni e riutilizzando i token con criterio, eviti che un ospite particolarmente insistente faccia lievitare la fattura solo con accessi frequenti e inutili. Questo vale in particolare negli ambienti con utilizzo di app mobili, B2B o ibride.

Gli scenari ibridi, in cui la stessa persona indossa entrambi i "cappelli" di dipendente interno e ospite esterno, meritano un'attenzione particolare. Se l'architettura non è progettata correttamente, rischi di pagare due volte, perché l'utente viene conteggiato sia come ID interno con licenza sia come MAU esterno. Allineare la mappatura della fatturazione e l'assegnazione dei ruoli garantisce precisione e ti fa risparmiare denaro quando i ruoli cambiano.

Per chi vuole una gestione finanziaria rigorosa, strategie come chargeback, showback e governance centralizzata diventano fondamentali. Permettono di allocare i costi in modo trasparente e di responsabilizzare i vari reparti. Per approfondire la governance e i limiti dei modelli di showback negli ambienti Microsoft 365 reali, dai un'occhiata a questo approfondimento sulla responsabilità dei costi e all'importanza di una governance di Azure applicabile. Nella prossima sezione entreremo nel dettaglio della gestione di sessioni, token e identità ibride.

Strategie di gestione di sessioni e token per ridurre i MAU

• Ottimizza i timeout di sessione: imposta una durata delle sessioni che eviti disconnessioni troppo frequenti, riducendo i nuovi MAU generati dalle riautenticazioni ripetute.
• Criteri di riutilizzo dei token: dove la sicurezza lo consente, consenti durate più lunghe dei token di aggiornamento: gli utenti restano connessi e ciascuno viene conteggiato una sola volta al mese.
• Regolazione del timeout di inattività: evita timeout di inattività troppo aggressivi che costringono gli utenti ad accedere di continuo; combinati con più tenant, possono far aumentare inutilmente il numero di MAU.
• Monitora i pattern di accesso: usa i report per individuare gli accessi ridondanti o evitabili e adatta la configurazione al comportamento reale degli utenti, così da ottenere un coinvolgimento medio realistico.

Gestione dei flussi utente ibridi per evitare la doppia fatturazione

• Assegnazione basata sui ruoli: definisci con chiarezza e applica quando un utente è considerato "interno" o "esterno", per evitare di essere addebitato due volte per la stessa persona.
• Archivi di identità unificati: dove possibile, usa un'unica fonte attendibile per le identità, preferibilmente in Azure AD/Entra, per evitare record duplicati tra i diversi ambienti.
• Criteri di gruppo automatizzati: sfrutta i gruppi dinamici e le assegnazioni automatiche in Entra per aggiornare lo stato e le autorizzazioni degli utenti quando cambiano i loro ruoli.
• Pratiche di audit della fatturazione: pianifica audit periodici per verificare la presenza di account sovrapposti o di transizioni non gestite, e correggili prima che gonfino la fattura.

Conclusioni: Punti chiave e checklist di implementazione per i prezzi di Entra ID

Se gestisci identità esterne in Entra ID, una strategia solida mantiene in equilibrio il budget e chi prende le decisioni. Ecco le lezioni principali e alcune pratiche concrete che ti semplificheranno il lavoro e renderanno meno tesi i colleghi del reparto finanziario:

1. Comprendi il modello di fatturazione: si paga in base ai Monthly Active Users (MAU). Ogni utente esterno unico che accede in un mese viene conteggiato, quindi più accessi significano più costi. Tieni sotto controllo ciò che contribuisce ai tuoi MAU.
2. Gestisci il collegamento tra tenant e sottoscrizioni: assicurati che ogni tenant esterno faccia riferimento alla sottoscrizione Azure corretta. Gli errori in questo punto possono causare la perdita dei dati di utilizzo o addebiti imprevisti.
3. Scegli con attenzione i metodi di autenticazione: non tutti gli accessi hanno lo stesso costo. L'OTP via email può far lievitare i costi tra commissioni di recapito e richieste di supporto, mentre i login social o gli ID federati possono far risparmiare in scenari ad alto volume.
4. Ottimizza le impostazioni di sessione e token: regola la durata delle sessioni e i timeout di inattività per evitare di gonfiare i MAU con accessi ripetuti non necessari. Il riutilizzo dei token è un alleato prezioso per ridurre gli utenti "attivi" in eccesso.
5. Pianifica i flussi ibridi e ruoli utente accurati: presta attenzione a chi passa dal ruolo interno a quello esterno: è facile fatturare due volte per errore se i flussi non sono ordinati e le categorie non sono chiare.

Tieni a portata di mano questa checklist mentre implementi o ottimizzi le identità esterne in Entra ID. Le scelte giuste oggi significano meno sorprese in fattura e trattative di budget più serene in futuro.

Ascolta anche questi episodi

Se stai approfondendo i prezzi delle identità esterne di Microsoft Entra, questi episodi offrono un contesto pratico su sicurezza delle identità, governance, controllo degli accessi e operazioni di Microsoft 365:

• Privileged Identity Management – Simply Explained — Scopri i privilegi just-in-time, le approvazioni e le revisioni degli accessi.
• Conditional Access – Simply Explained — Scopri come i criteri basati sul contesto proteggono utenti e dispositivi.
• Microsoft Defender XDR – Simply Explained — Collega i segnali di identità con rilevamento, indagine e risposta.
• Microsoft Teams Governance – The Illusion of Control — Scopri come la governance crea responsabilità e controlli ripetibili.

Come stimare i costi di Microsoft Entra External Identities

1. Definisci lo scenario: collaborazione con utenti guest, customer identity o accesso dei partner.
2. Stima gli utenti attivi mensili anziché il totale degli account registrati.
3. Elenca i requisiti di accesso, sicurezza, branding, applicazioni e supporto che possono influire sulla progettazione.
4. Verifica con Microsoft l'offerta attuale, la valuta, l'area geografica e i termini prima di adottare un modello di costo.

Usa la pagina dei prezzi di Microsoft Entra ufficiale e la documentazione di Microsoft Learn per External ID per l'ambito attuale dei prodotti. Prezzi e idoneità possono cambiare, quindi non usare una vecchia stima come base per una decisione di acquisto.

Fattori di costo delle identità esterne da documentare

Domande frequenti

Qual è la differenza tra un'identità esterna e un account guest?

External identities è l'area più ampia di Microsoft Entra dedicata alle persone al di fuori del tenant di lavoro. L'accesso guest è uno schema di collaborazione comune all'interno di questo modello di accesso esterno più ampio.

Posso pianificare i costi in base al numero di inviti inviati?

No. Gli inviti da soli non indicano quanti utenti si autenticheranno effettivamente. Modella gli utenti attivi mensili previsti e verifica i termini di prezzo aggiornati.

Ultima revisione: luglio 2026.

🎧 Ti consigliamo anche di ascoltare

• Identity Governance in Microsoft Entra

  Scopri come responsabilità, revisioni degli accessi e controlli del ciclo di vita completano le decisioni sui costi di Microsoft Entra External Identities.

• Microsoft Entra Private Access – Simply Explained

  Esplora un modello di accesso correlato di Entra e le domande di architettura che definiscono i servizi di identità sicuri.

• Accesso condizionale per gli ospiti in Microsoft Entra ID

  Questa guida pratica aiuta a collegare la pianificazione dei costi degli utenti esterni con i controlli di sicurezza necessari per l'accesso guest.