Perché interrompere l'ereditarietà sta distruggendo le prestazioni di SharePoint

By Mirko Peters · 2026-08-11

Se hai mai gestito un ambiente SharePoint di una certa dimensione, probabilmente ti sei trovato di fronte alla tentazione. Un utente chiede una specifica cartella all'interno di una ma…

Automatically translated with AI from the original post. Read the English original

Se hai mai gestito un ambiente SharePoint di dimensioni rilevanti, probabilmente hai già incontrato la tentazione. Un utente chiede che una specifica cartella all'interno di una libreria documenti enorme sia riservata a pochi eletti. Sembra innocuo. Vai alle impostazioni delle autorizzazioni avanzate, clicchi sul fatidico pulsante per interrompere l'ereditarietà delle autorizzazioni e concedi l'accesso solo a quelle tre persone. Problema risolto, giusto? Purtroppo, quella che sembra una soluzione rapida è in realtà la prima salva di una guerra contro le prestazioni, la stabilità e la postura di sicurezza della tua stessa piattaforma. In questa guida completa analizzeremo a fondo perché le autorizzazioni granulari stanno silenziosamente paralizzando i tuoi siti SharePoint, come generano una valanga a cascata di debito tecnico e come puoi riprendere il controllo del tuo tenant.

TL;DR

«Interrompi l'ereditarietà» non è una strategia. Le autorizzazioni univoche moltiplicano il caos, peggiorano le prestazioni e compromettono la verificabilità. Usa gruppi + ereditarietà, riserva le eccezioni ai veri casi limite e aggiungi revisioni pianificate dell'accesso per mantenere il modello pulito e conforme.

Sfatare i miti: granulare ≠ più sicuro

Quando le organizzazioni adottano SharePoint per la prima volta, amministratori e proprietari di siti spesso cadono in trappole psicologiche sulla sicurezza dei dati. Questi miti sono rassicuranti, ma vanno completamente contro il funzionamento delle moderne architetture cloud.

• Mito: «Le autorizzazioni univoche ci rendono precisi e sicuri.»
  Realtà: Frammentano il modello di sicurezza, aumentano gli errori e nascondono chi può accedere a cosa.

• Mito: «È solo una cartella.»
  Realtà: Le eccezioni si moltiplicano, e in fretta. Pochi elementi univoci diventano centinaia, e la deriva diventa la norma.

• Mito: «Potremo sempre fare un report più tardi.»
  Realtà: Un'ereditarietà interrotta distrugge il contesto dei report, e gli audit si trasformano in indagini manuali.

Dietro le quinte: i costi nascosti che sentirai più avanti

Il cervello umano ama l'ottimizzazione locale. Interrompere l'ereditarietà risolve un'esigenza immediata, ma introduce un pesante carico di elaborazione in background che si accumula nel tempo. Ecco cosa succede davvero dietro le quinte quando frammenti il tuo modello di sicurezza.

• Rallentamento delle prestazioni: ogni ambito univoco aggiunge controlli a ogni clic, ricerca e caricamento. Con un numero sufficiente di elementi univoci i siti diventano lenti, soprattutto oltre ~5.000 elementi con autorizzazioni univoche in un elenco o libreria.

• Rischio per la sicurezza: l'accesso orfano (ex dipendenti, fornitori) resta nelle ACL una tantum. I documenti sensibili compaiono nella ricerca.

• Problemi di audit: rispondere a «Chi ha accesso?» diventa complesso. Le esportazioni di PowerShell e i report di amministrazione non mostrano il contesto quando l'ereditarietà è frammentata.

• Carico operativo: i ticket aumentano; gli amministratori si occupano di casi isolati invece di costruire una governance duratura.

Gruppi o granularità: il modello che scala

Per risolvere il problema dobbiamo guardare a come viene concesso l'accesso. Usa la chiave giusta per la porta giusta:

• Gruppi di SharePoint (Proprietari/Membri/Visitatori + personalizzati): ideali per l'accesso limitato a progetto/sito; aggiornamenti immediati, audit semplici.

• Gruppi di Entra ID (Azure AD): ideali per ruoli a livello di organizzazione o tra più siti; gestiti al di fuori del sito, coerenti su larga scala.

• Evita le assegnazioni dirette agli utenti e le ACL per singola cartella: generano deriva e rendono fragili onboarding e offboarding.

Suggerimenti di progettazione

• Eredita a livello di sito → libreria/elenco → cartella; interrompi l'ereditarietà solo per veri casi limite normativi.

• Preferisci i gruppi di gruppi (inserisci i gruppi di Entra all'interno dei gruppi di SharePoint) con una proprietà chiara.

• Documenta chi è proprietario del gruppo e lo scopo aziendale direttamente nella descrizione del gruppo.

Piano di ripristino: dal caos delle autorizzazioni alla chiarezza

Se il tuo ambiente soffre già di una proliferazione di autorizzazioni, farsi prendere dal panico ed eliminare tutto causerebbe solo interruzioni operative. Segui invece un piano di bonifica strutturato e per fasi.

Fase 1 — Scoperta e mappatura

• Inventaria gli ambiti univoci (sito, libreria, cartella, elemento).

• Esporta le autorizzazioni attuali; assegna tag a proprietario, scopo, classificazione dei dati e ultimo accesso.

Fase 2 — Normalizza

• Sostituisci l'accesso diretto degli utenti con gruppi SharePoint/Entra.

• Ricollega l'ereditarietà alle diramazioni interrotte, dove è sicuro farlo.

• Consolida le « micro-cartelle » in librerie strutturate + metadati + viste.

Fase 3 — Governa

• Implementa verifiche trimestrali degli accessi (i proprietari del sito convalidano l'appartenenza ai gruppi).

• Applica un flusso richiesta → approvazione → accesso a tempo per le eccezioni.

• Imposta avvisi per nuove autorizzazioni univoche, gruppi inattivi e utenti esterni senza un proprietario.

Eccezioni sicure (quando devi davvero interrompere l'ereditarietà)

Viviamo in un contesto aziendale complesso, e le normative a volte richiedono eccezioni mirate. Può capitare di avere un motivo legittimo per interrompere l'ereditarietà, ma devi farlo rispettando condizioni rigorose.

• Aree soggette a normative o a blocco legale, con motivazione documentata.

• Sale operative temporanee altamente riservate, con date di scadenza e sponsor nominativi.

• Per ogni eccezione: crea un gruppo dedicato, assegna un proprietario, definisci una pianificazione delle verifiche e registra la motivazione.

Checklist per gli amministratori (da copiare e incollare)

Tieni a portata di mano questa checklist durante la prossima revisione architetturale o lo sprint di pulizia del tenant:

• ☐ Nessuna autorizzazione diretta per utenti su librerie, cartelle o elementi

• ☐ Gruppi SharePoint definiti per sito (Proprietari/Membri/Visitatori + personalizzati)

• ☐ Gruppi Entra solo per ruoli a livello di organizzazione; nessun gruppo « di progetto » abbandonato in Entra

• ☐ Autorizzazioni univoche < 5% degli elementi; mai vicino a 5.000 ambiti univoci per elenco/libreria

• ☐ Verifiche trimestrali degli accessi attive; proprietari responsabili

• ☐ Accesso esterno a tempo, con revisione/scadenza automatica

• ☐ Avvisi: nuovi ambiti univoci, utenti inattivi nei gruppi, ospiti esterni con privilegi elevati

• ☐ Eccezioni documentate (motivo, proprietario, cadenza di revisione, data di fine)

Vittorie rapide (questa settimana)

Non serve un progetto di sei mesi per iniziare a migliorare le cose. Agisci subito con questi piccoli interventi che danno risultati immediati:

• Sostituisci le prime 10 assegnazioni dirette agli utenti con dei gruppi.

• Ripristina l'ereditarietà per le strutture di cartelle in cui l'appartenenza ora coincide con quella del livello superiore.

• Attiva un semplice avviso «autorizzazioni univoche create» per intercettare subito le nuove autorizzazioni sparse.

• Aggiungi proprietario del gruppo + scopo nelle descrizioni dei siti più importanti.

Abbandona questi anti-pattern

Per mantenere sano l'ecosistema SharePoint, elimina consapevolmente queste cattive abitudini diffuse nel team:

• Interrompere l'ereditarietà per comodità o per un accesso « di una settimana ».

• Mescolare gruppi AD casuali, gruppi SharePoint e utenti diretti senza un modello di proprietà.

• Annidare molti livelli di cartelle per « simulare » confini di sicurezza (usa gruppi + metadati).

Domande frequenti

D: Abbiamo già centinaia di autorizzazioni univoche: dobbiamo ricostruire tutto da zero?
R: No. Normalizza per ondate: prima le librerie a rischio più alto, sostituisci gli utenti con i gruppi, quindi ricollega l'ereditarietà dove è sicuro farlo.

D: Conviene usare gruppi AD (Entra) o gruppi SharePoint?
R: Usa i gruppi SharePoint per l'appartenenza limitata a un sito e per la flessibilità; usa i gruppi Entra per i ruoli che coprono più siti o team.

D: Come condividiamo con i fornitori senza interrompere l'ereditarietà?
R: Crea un gruppo Fornitore con appartenenza a tempo, concedi l'accesso all'ambito appropriato e verificalo ogni trimestre.

Metriche di governance (per dimostrare il miglioramento)

Al management piacciono i dati. Dimostra che il lavoro di amministrazione sta dando risultati monitorando nel tempo queste metriche:

• Ambiti di autorizzazioni univoci per libreria (tendenza ↓)

• % di autorizzazioni concesse tramite gruppi (tendenza ↑)

• Numero di assegnazioni dirette agli utenti (tendenza ↓ fino a zero)

• Tempo per evadere le richieste di accesso (stabile/↓)

• Rilievi di audit relativi all'accesso a SharePoint (↓ trimestre su trimestre)

Conclusione

Interrompere l'ereditarietà è una scorciatoia con interesse composto, che si paga in interruzioni, audit e perdita di fiducia degli utenti. Costruisci con gruppi + ereditarietà, mantieni i percorsi di eccezione rari e verificati e tratta la governance degli accessi come un prodotto, non come un ticket. Il tuo io futuro (e il tuo auditor) ti ringrazierà. Se vuoi approfondire ulteriormente questo argomento e ascoltare esempi reali su come tenere sotto controllo la proliferazione delle autorizzazioni, non perdere il nostro episodio podcast correlato, Stop SharePoint Fine-Grained Permission Sprawl.