Guida agli utenti in Microsoft Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Scopri come gestire gli utenti in Microsoft Entra ID con indicazioni pratiche su sicurezza, governance, controllo degli accessi, implementazione e casi d'uso reali.

Automatically translated with AI from the original post. Read the English original

Se vuoi proteggere la sicurezza della tua organizzazione e mantenere la produttività senza intoppi, capire come funzionano gli utenti in Microsoft Entra ID (in precedenza Azure Active Directory) è essenziale quanto ricordarsi dell'anniversario di matrimonio. Gli utenti non sono semplici indirizzi email: sono la base su cui si gestiscono identità e accessi all'interno del cloud Microsoft.

Questa guida passa in rassegna tutto, dai tipi di utente (come membri interni e ospiti) alla gestione in blocco, dagli accessi alle app ai ruoli di amministrazione. Che tu sia alle prime armi con l'identità nel cloud o un responsabile IT con anni di esperienza sul campo, troverai indicazioni chiare su come organizzare, proteggere e sfruttare al meglio gli utenti in Entra ID. Mettiamo l'identità dove deve stare: al centro della strategia cloud e delle fondamenta della sicurezza.

Cos'è Microsoft Entra ID e perché la gestione delle identità è importante

I tempi in cui si proteggeva un singolo ufficio con Active Directory locale sono ormai lontani. Benvenuto in Microsoft Entra ID, l'evoluzione di Azure Active Directory di Microsoft e il centro di comando per la gestione di identità e accessi nell'era del cloud ibrido.

Entra ID è una directory di identità nativa del cloud e pensata innanzitutto per il cloud, che riunisce sotto lo stesso tetto digitale gli accessi degli utenti, le autorizzazioni e le connessioni alle app. Che i tuoi utenti lavorino in sede, da remoto o passando da un ambiente all'altro, Entra ID semplifica la gestione di chi può accedere a cosa, rendendo l'esperienza fluida per gli utenti e solida dal punto di vista della sicurezza.

Che cosa distingue Entra ID dalla vecchia Active Directory su quel server Windows impolverato? Be', è stato progettato per il cloud fin dalle fondamenta: si integra senza attriti con Microsoft 365, Azure, le app SaaS e, se serve, anche con i carichi di lavoro locali legacy. Può gestire utenti che non si connettono mai alla rete aziendale, supporta l'accesso senza password, i criteri basati sul rischio e consente di controllare le risorse da qualsiasi luogo.

Un sistema di identità solido come Entra ID oggi conta più che mai. Non si tratta solo di accessi: è il tuo scudo contro fughe di dati, grattacapi di conformità e minacce informatiche. Centralizzare la gestione delle identità riduce la superficie di attacco e ti permette di reagire rapidamente ai rischi, elemento chiave in qualsiasi percorso di trasformazione digitale. Con Entra ID, la directory degli utenti è la prima linea della tua postura di sicurezza e il carburante della moderna produttività nel cloud.

Comprendere profili, tipi e attributi degli utenti in Entra ID

1. Tipi di utente

• Utenti membri: sono i tuoi utenti interni: dipendenti, studenti o personale che appartiene alla tua organizzazione. Ottengono accesso completo alle risorse aziendali in base al ruolo e alle autorizzazioni assegnate.
• Utenti ospiti: chiamati anche «utenti esterni» o «ospiti B2B», sono persone che inviti dall'esterno dell'organizzazione (partner, fornitori, clienti). Il loro accesso è più limitato e può essere controllato in modo stringente per motivi di sicurezza.

1. Attributi principali del profilo utente

• Nome utente/UPN (User Principal Name): di solito un indirizzo email, è il nome con cui l'utente accede.
• Nome visualizzato: il nome leggibile mostrato in Teams, Outlook e nelle altre app Microsoft.
• Indirizzo email: il principale punto di contatto di ciascun utente.
• Reparto, titolo, ruolo professionale: facilitano l'automazione e l'assegnazione dinamica ai gruppi.
• Responsabile: definisce le linee di riporto gerarchico e i flussi di approvazione.
• Attributi personalizzati: puoi andare oltre i valori predefiniti e aggiungere centro di costo, codici progetto o qualsiasi campo personalizzato necessario tramite estensioni dello schema della directory.

1. Importanza di informazioni utente corrette
2. Profili accurati non sono utili solo all'IT: sono lo strumento con cui controlli chi accede a file sensibili, quali licenze servono a un utente e come funzionano audit e automazioni. Dati scadenti generano problemi di conformità, compromettono i gruppi dinamici e possono lasciare porte aperte a chi non dovrebbe entrare.
3. Differenze nei profili: interni ed esterni
4. I profili interni (membri) hanno attributi più ricchi, una titolarità organizzativa chiara e un accesso più ampio alle risorse. Gli utenti ospiti portano con sé le credenziali della propria organizzazione di appartenenza e mantengono un profilo «leggero»: ideale per la collaborazione sicura senza entrare del tutto nel tuo dominio.

Gestione di profili utente, categorie e proprietà consigliate

• Categorie utente Dipendenti: i tuoi utenti principali, con accesso interno completo in base al ruolo ricoperto.
• Contractor/consulenti: interni, ma con accesso limitato o a tempo; spesso richiedono un contrassegno specifico negli attributi per la conformità e la reportistica.
• Ospiti: collaboratori esterni, come trattato in precedenza. Monitorarli è fondamentale per evitare account obsoleti e rischi per la sicurezza.
• Proprietà del profilo consigliate – Coerenza nella denominazione: usa formati concordati, come nome.cognome@dominio.com per i nomi utente, e nomi visualizzati standardizzati.
• Reparto e ruolo: compila sempre gli attributi chiave come reparto, sede, responsabile e titolo di lavoro. Questo semplifica l'inclusione nei gruppi dinamici e i criteri di accesso.
• Campi di conformità: aggiungi estensioni dello schema personalizzate per codici progetto, centri di costo, regione o entità giuridica, fondamentali per le grandi organizzazioni o per gli ambienti regolamentati.
• Foto del profilo: carica una foto riconoscibile per supportare la verifica dell'identità e l'esperienza utente in Outlook e Teams.
• Indicazioni sulle procedure consigliate Verifica regolarmente i dati degli utenti per garantirne l'accuratezza: ciò significa usare strumenti di automazione, eseguire audit periodici e sincronizzare con il sistema HR.
• Documenta le convenzioni di denominazione e gli standard delle proprietà del profilo, così HR, IT e conformità restano sempre allineati.
• Quando controlli l'attività degli utenti ai fini di conformità e indagini, collega strettamente i profili utente a strumenti come Microsoft Purview Audit per monitorare comportamenti e rischi in tutto l'ambiente Microsoft 365.
• Esempi Dipendente: john.smith@company.com, Reparto: IT, Centro di costo: 1001, Responsabile: Alice Lee, Foto del profilo: Sì
• Contractor: jane.contractor@company.com, Reparto: Marketing, Data di fine accesso: 31/10/2024
• Ospite: guest.partner@external.com, Invitato da: OpsAdmin, Accesso: solo canale condiviso di Teams.

Impostare correttamente questi dettagli fin dall'inizio mantiene pulito il patrimonio di identità, pronto per gli audit, e semplifica il lavoro di ogni reparto.

Come aggiornare più utenti e le foto del profilo in Entra ID

1. Aggiornamento di un singolo utente
2. Puoi modificare i dettagli utente, come titolo di lavoro, responsabile o numero di telefono, direttamente dall'interfaccia di amministrazione di Entra. Devi cambiare la foto del profilo? Gli utenti possono farlo autonomamente in Outlook o Teams, ma gli amministratori possono sostituire le foto in modo centralizzato per motivi di conformità o HR.
3. Aggiornamento di più utenti

• Metodo tramite portale: usa le funzioni di importazione/esportazione CSV nel portale di Entra per modificare in blocco le proprietà degli utenti.
• Automazione con PowerShell: gli amministratori più esperti usano script PowerShell per aggiornare più utenti contemporaneamente, utile per le grandi organizzazioni. Gli script possono aggiornare attributi (come reparto o telefono) o persino orchestrare la disattivazione in blocco.
• Strumenti sincronizzati: se usi una Active Directory locale connessa, gli aggiornamenti effettuati lì (come titolo di lavoro o reparto) possono sincronizzarsi automaticamente tramite Azure AD Connect.

1. Gestione delle foto del profilo su larga scala
2. Automatizza il caricamento delle foto con script o strumenti di terze parti. Ricorda: foto professionali e coerenti aiutano a costruire fiducia e a difendersi dall'ingegneria sociale, soprattutto nelle organizzazioni che lavorano con i clienti.
3. Approcci consigliati e suggerimenti

• Convalida sempre le modifiche prima di applicarle in blocco: un piccolo errore in un CSV potrebbe bloccare un intero team!
• Pianifica audit periodici degli attributi, soprattutto dopo una ristrutturazione aziendale o ondate di nuovi inserimenti.
• Considera eventuali limiti, come dimensioni o formati consentiti per le foto, quando carichi le foto degli utenti in blocco.

1. Scenario reale
2. Immagina che l'IT debba aggiornare il reparto di 300 dipendenti dopo una fusione: PowerShell o un caricamento CSV batte di gran lunga il clic su ogni profilo. Per le organizzazioni che vogliono automatizzare ulteriormente, consulta i podcast di Microsoft 365 o le risorse su PowerShell e governance (nota: il contenuto potrebbe reindirizzare a podcast con discussioni sull'architettura aziendale se il tutorial originale non è disponibile).

Assegnare gruppi agli utenti e gestire l'appartenenza dinamica

Gestire manualmente le autorizzazioni degli utenti non basta più quando la tua directory somiglia alla metropolitana nell'ora di punta. Ed è qui che entra in gioco il raggruppamento degli utenti in Entra ID. Assegnando gli utenti a gruppi, puoi semplificare la concessione delle autorizzazioni, l'assegnazione delle licenze e la gestione dell'accesso alle app, rendendo il lavoro amministrativo meno gravoso.

Hai a disposizione più opzioni: i gruppi statici, per appartenenze prevedibili, e i gruppi dinamici, per assegnazioni intelligenti basate su regole. Con i gruppi dinamici sono i profili utente e gli attributi (come reparto o paese) a decidere chi entra in quale gruppo. Questo ti toglie di mezzo un'enorme quantità di lavoro ripetitivo, soprattutto quando arrivano nuovi colleghi o i team vengono suddivisi.

Anche i membri dinamici non riguardano solo i dipendenti. Puoi assegnare automaticamente gli ospiti, come partner o collaboratori esterni, ai gruppi di accesso giusti in base ai dettagli del loro profilo. In questo modo l'onboarding e l'offboarding degli utenti esterni diventano più sicuri, più veloci e sempre basati su criteri. Bloccando bene le assegnazioni ai gruppi, poni le basi per una solida sicurezza basata sui gruppi, revisioni dell'accesso più semplici e una gestione prevedibile delle licenze: tutti aspetti che approfondiremo in questa guida.

Concedere l'accesso alle app e assegnare licenze agli utenti di Entra ID

• Assegnare app a utenti o gruppiVai al portale di Entra, individua «App aziendali», seleziona la tua app, quindi aggiungi gli utenti o i gruppi che devono accedervi.
• Usa i gruppi (statici o dinamici) per assegnare le app su larga scala, assicurandoti che i nuovi assunti e chi cambia ruolo ricevano automaticamente le app giuste.
• Assegnare le licenzeVai a «Licenze» in Entra ID. Assegna direttamente agli utenti le licenze di Microsoft 365, Entra ID P1 o P2, oppure applicale a livello di gruppo per un'attivazione in blocco. L'assegnazione delle licenze basata sui gruppi fa sì che i diritti seguano gli utenti quando cambiano reparto, mantenendo la conformità.
• Per le app SaaS che richiedono licenze (pensa a Salesforce o ServiceNow), aggiungile tramite la galleria di app aziendali; assegnale agli utenti in base alle necessità oppure, meglio ancora, ai gruppi, per monitorarle e gestirne la disattivazione in modo più semplice.
• Usare i gruppi dinamici per l'assegnazione di app e licenzeLe regole dei gruppi dinamici (come «Reparto uguale a Finance») fanno sì che app e licenze vengano assegnate automaticamente in base alle modifiche del profilo: meno lavoro manuale, meno attese per gli utenti e tracciamento più solido nei log di controllo.
• Risolvere i problemi di accessoSe un utente non riesce ad accedere a un'app dopo l'assegnazione, verifica lo stato della licenza, l'appartenenza al gruppo e eventuali ritardi dovuti alla sincronizzazione.
• Controlla che i criteri di accesso condizionale non blocchino l'utente. Valuta pratiche di monitoraggio in tempo reale come quelle discusse in questo podcast su accesso condizionale di Entra ID e scopri come costruire fiducia e individuare le esclusioni applicando i principi delle strategie di fiducia per i criteri di accesso condizionale.

Avere un processo di assegnazione chiaro e automatizzato per app e licenze riduce gli attriti per gli utenti, ti mantiene conforme e rende il lavoro dell'IT un po' più gestibile.

Delegare i ruoli di amministratore e usare Privileged Identity Management

Far diventare tutti amministratori equivale a distribuire biglietti della metropolitana a chiunque per strada: grande rischio, pochi benefici. Entra ID ti offre invece ruoli di amministrazione strutturati (dall'Amministratore globale fino all'Amministratore utenti e agli ambiti personalizzati) così puoi delegare le responsabilità limitando al minimo il raggio d'impatto.

Quando serve qualcuno che gestisca utenti o gruppi, assegnagli solo i ruoli di cui ha assolutamente bisogno. Evita di concedere privilegi eccessivi: non è solo una buona pratica, è la tua migliore polizza assicurativa contro modifiche accidentali o dolose. Privileged Identity Management (PIM) di Entra ID alza il livello introducendo l'accesso amministrativo just-in-time (JIT): rendi qualcuno idoneo a un ruolo, ma richiedi un'approvazione e imposta limiti di tempo ogni volta che sono necessari privilegi più elevati.

PIM registra anche ogni elevazione di privilegi, fornendo log di controllo dettagliati per sicurezza e conformità. Questo ti aiuta a capire chi ha fatto cosa, quando e perché. Per le organizzazioni più grandi che gestiscono carichi di lavoro critici o dati sensibili, PIM insieme all'accesso basato sui ruoli è essenziale per evitare la proliferazione dei privilegi e proteggere le operazioni vitali.

Prendi spunto dagli approcci di governance avanzata: collega le revisioni degli accessi privilegiati e la definizione dell'ambito ai criteri di governance, come quelli descritti in Microsoft Purview governance for agents and policies. Seguendo queste pratiche non proteggi solo l'operatività quotidiana, ma mantieni anche una traccia di audit chiara per ogni modifica sensibile.

Gestione degli utenti ospiti, pulizia degli account inattivi e insight da "All Directory Users" in Entra

Coinvolgere ospiti (fornitori, partner, perfino consulenti a breve termine) può dare una spinta decisiva a un progetto, ma se lasci la porta aperta quando non servono più, stai invitando guai. In Entra ID, la gestione degli utenti ospiti parte dal controllo rigoroso di chi riceve un invito e dal monitoraggio dell'accesso di ogni ospite fin dal primo giorno.

Mantenere un inventario accurato degli ospiti è fondamentale. Ogni profilo ospite dovrebbe essere sempre associato a una finalità aziendale e dovresti verificare periodicamente chi ha ancora bisogno di accedere. Quando un progetto si conclude, usa revisioni automatiche, date di scadenza o audit regolari per revocare gli accessi. Un processo di invito a tempo limitato e motivato mantiene la directory pulita e rende felici i revisori.

La pulizia degli ospiti inattivi non è un "nice to have": è un passo importante per ridurre la superficie di attacco e chiudere le lacune di conformità. Molte organizzazioni lasciano sopravvivere gli account ospite per mesi o anni, creando rischi nascosti e disordine operativo. Adotta la gestione del ciclo di vita, come illustrato in questo approfondimento, oppure applica approcci strutturati alla individuazione e alla disattivazione degli accessi.

Tieni inoltre d'occhio il gruppo "All Users" in Entra ID: contiene tutti gli account, compresi quelli degli ospiti. La condivisione esterna in strumenti come SharePoint o OneDrive è sicura solo se abbini le revisioni della directory a un monitoraggio e a un sistema di avvisi accurati e automatizzati, come descritto in framework quali questa guida al rilevamento dei rischi di condivisione esterna. La governance non serve solo a fermare le minacce: garantisce che solo le persone giuste, per il tempo giusto, entrino nella tua casa digitale.

Prerequisiti e configurazione iniziale di Entra ID con le best practice per Azure AD Connect

• Requisiti della directoryDefinisci con chiarezza una struttura dei nomi di dominio, assicurando standard di denominazione uniformi in tutta l'organizzazione. Se stai estendendo l'infrastruttura on-premises, verifica che Windows Server Active Directory sia integro e aggiornato.
• Considerazioni sulle licenzeStabilisci quale licenza di Entra ID soddisfa le tue esigenze: Entra ID Free, P1 o P2. Le funzionalità avanzate di sicurezza e automazione (come Accesso condizionale, PIM o gruppi dinamici) richiedono in genere P1 o P2.
• Conta tutti gli utenti previsti (compresi gli ospiti) per una pianificazione accurata delle licenze: non dimenticare gli account di servizio e le caselle di risorse.
• Sincronizzazione con Azure AD ConnectInstalla Azure AD Connect per sincronizzare utenti e gruppi tra Active Directory locale ed Entra ID, se hai un ambiente ibrido. Presta attenzione alle regole di sincronizzazione: sincronizza solo gli attributi necessari per evitare appesantimenti.
• Valuta le estensioni dello schema dove servono attributi personalizzati (casi d'uso: dati HR, centri di costo, indicatori di conformità), ma pianifica con cura nomi e utilizzo per essere pronto anche in futuro.
• Configurazione inizialeImposta la gestione delle password, il provisioning degli utenti e le opzioni self-service, e assicurati che l'MFA sia richiesta per tutti gli account privilegiati fin dal primo giorno.
• Documenta le scelte di configurazione e stabilisci cicli di revisione per evitare la sindrome del "configura e dimentica", una delle cause principali dell'aumento dei rischi negli ambienti cloud.
• Allineamento alla governanceAdotta fin dall'inizio i principi di "governance by design", consultando indicazioni come questa strategia di governance enterprise per Azure, per prevenire la deriva dei criteri, ridurre le eccezioni e configurare l'applicazione automatica dove possibile.

Seguendo questi prerequisiti e best practice sarai pronto per una distribuzione di Entra ID fluida, sicura e scalabile, con molto meno lavoro di pulizia in seguito.

Prossimi passi, feedback degli utenti e risorse per iniziare subito

• Rivedi e applica quanto hai imparato: usa le checklist di questa guida per la configurazione degli utenti, la gestione dei gruppi e la governance, ma non fermarti qui. Fai di revisioni e audit mensili un'abitudine per un miglioramento continuo.
• Raccogli il feedback degli utenti: apri canali di comunicazione con utenti e amministratori. I problemi reali che incontrano possono guidare i miglioramenti dei criteri e far emergere lacune che da soli non noteresti mai.
• Approfondisci con letture e risorse della community: amplia le tue conoscenze con le esperienze dei colleghi, analisi di esperti e procedure dettagliate passo passo presenti nei blog della community e nei percorsi di apprendimento Microsoft.
• Resta aggiornato: Microsoft evolve Entra ID continuamente. Iscriviti agli aggiornamenti della roadmap, ai webinar o ai podcast di esperti per non restare indietro sulle nuove funzionalità e sui rischi per la sicurezza.
• Mettiti alla prova: crea un tenant di test, sperimenta le licenze basate su gruppo, prova i gruppi dinamici e usa gli strumenti di reporting per mettere in pratica quanto hai imparato. Più sperimenti, più padroneggerai la gestione degli utenti in Entra ID.

Ascolta anche questi episodi

Se stai studiando gli utenti in Microsoft Entra ID, questi episodi offrono un contesto pratico su sicurezza delle identità, governance, accesso privilegiato e implementazione:

• Microsoft Defender XDR – Simply Explained — Collega la governance delle identità ai segnali di sicurezza, all'analisi e alla risposta agli incidenti.
• Conditional Access – Simply Explained — Scopri come i controlli di accesso basati su criteri applicano le decisioni sulle identità.
• Privileged Identity Management – Simply Explained — Comprendi i privilegi just-in-time, le approvazioni e le revisioni degli accessi.
• Microsoft Teams Governance – The Illusion of Control — Scopri come la governance trasforma autorizzazioni e proprietà in operazioni ripetibili.