Microsoft Entra ID: guida completa per chi parte da zero

Hai sentito parlare di Microsoft Entra ID ma non sai da dove iniziare? Questa guida ti spiega tutto in modo semplice, partendo dalle basi. Niente gergo tecnico inutile — solo concetti chiari con esempi pratici.

L’analogia del badge aziendale

Il modo migliore per capire Microsoft Entra ID è pensare a un badge aziendale. Immagina il tuo primo giorno di lavoro in un grande ufficio: la receptionist ti consegna un badge. Quel badge decide dove puoi andare e dove no. Ti apre la porta del tuo ufficio, della mensa, della sala riunioni — ma non ti lascia entrare nella sala server o nell’ufficio del CEO.

Quando lasci l’azienda, il badge viene disattivato. Subito.

Microsoft Entra ID funziona esattamente così: è il sistema che emette, gestisce e revoca i “badge digitali” dei tuoi utenti nel mondo Microsoft 365. Determina chi sei, cosa puoi usare e quando il tuo accesso deve essere rimosso.

Cos’è Microsoft Entra ID (ex Azure AD)?

Microsoft Entra ID (fino al 2023 chiamato Azure Active Directory o Azure AD) è il servizio di gestione delle identità e degli accessi di Microsoft, basato su cloud.

In pratica: ogni volta che un utente accede a Microsoft 365, Teams, SharePoint, Outlook o qualsiasi altra app Microsoft, è Entra ID che verifica chi è e cosa può fare. Se la tua azienda usa Microsoft 365, stai già usando Entra ID — anche se non lo sai.

La differenza rispetto al vecchio Active Directory locale (quello installato su un server fisico in azienda) è che Entra ID è completamente cloud: non serve un server, non serve manutenzione hardware, ed è accessibile da qualsiasi posto del mondo.

Le licenze: Free, P1 e P2

Entra ID ha tre livelli di licenza. È importante capire la differenza perché alcune funzionalità avanzate richiedono un piano superiore.

Entra ID Free

Incluso gratuitamente con qualsiasi abbonamento Microsoft 365. Offre gestione base di utenti e gruppi, Single Sign-On per app cloud, MFA base con Security Defaults e sincronizzazione con Active Directory on-premise tramite Entra Connect.

Entra ID P1

Incluso in Microsoft 365 Business Premium, EMS E3, Microsoft 365 E3. Aggiunge: Accesso Condizionale (la funzione più importante per la sicurezza), gruppi dinamici (appartenenza automatica basata su regole), Hybrid Entra ID Join per ambienti ibridi, e Self-Service Password Reset (gli utenti reimpostano la password da soli senza chiamare l’helpdesk).

Entra ID P2

Incluso in Microsoft 365 E5, EMS E5. Aggiunge tutto il P1 più: Identity Protection (rileva login rischiosi automaticamente), Privileged Identity Management (i ruoli admin attivati solo al bisogno, non sempre), Access Reviews (revisioni periodiche degli accessi) e Accesso Condizionale basato sul rischio in tempo reale.

Utenti e come crearli

Ogni persona che deve accedere alle risorse aziendali ha bisogno di un account utente in Entra ID. Puoi accedere a Entra ID dal Microsoft 365 Admin Center → Admin Centers → Identity.

Puoi creare utenti in tre modi: manualmente uno alla volta, importando un file CSV con più utenti in blocco, oppure tramite sincronizzazione automatica dal tuo Active Directory locale con Entra Connect.

Curiosità utile: gli utenti che vedi nel Microsoft 365 Admin Center e quelli in Entra ID sono gli stessi — sono due interfacce diverse per la stessa cosa. L’Admin Center è più semplice per gestire licenze ed email; Entra ID è la console avanzata per sicurezza e identità.

Il cestino a 30 giorni

Quando elimini un utente, non sparisce subito: va nel cestino per 30 giorni. Durante questo periodo puoi recuperarlo completamente con tutte le sue impostazioni. Dopo 30 giorni la cancellazione diventa definitiva. Se devi accedere alla posta di un ex dipendente, muoviti entro questa finestra.

Ruoli amministrativi

I ruoli definiscono i poteri di un amministratore. Entra ID ne ha oltre 60, ma nella pratica ne usi principalmente questi:

• Global Administrator — accesso totale a tutto. Massima prudenza: idealmente non più di 2-4 persone in tutta l’organizzazione.
• User Administrator — crea/modifica/elimina utenti, reimposta password. Il ruolo tipico dell’helpdesk.
• Billing Administrator — gestisce abbonamenti e pagamenti.
• Security Administrator — configura policy di sicurezza e Accesso Condizionale. Non può gestire utenti normali.
• Helpdesk Administrator — reimposta password e gestisce ticket base. Ruolo limitato, sicuro da assegnare al personale di supporto.
• Exchange / SharePoint Administrator — gestisce rispettivamente email e siti SharePoint.

Regola d’oro: Least Privilege. Assegna sempre il ruolo minimo necessario. Se qualcuno deve solo reimpostare password, dagli l’Helpdesk Admin — non il Global Admin.

Gruppi: Security Group vs Microsoft 365 Group

I gruppi ti permettono di gestire accessi, licenze e policy in blocco invece di farlo utente per utente. Esistono due tipi principali:

• Security Group — controlla l’accesso alle risorse: siti SharePoint, app, policy Intune, regole di Conditional Access. Non ha email propria. È il tipo più usato dall’IT.
• Microsoft 365 Group — orientato alla collaborazione. Quando lo crei, genera automaticamente una casella email condivisa, un sito SharePoint, un calendario condiviso e (se configurato) un team in Microsoft Teams. Ideale per i team di progetto.

Assegnazione statica vs dinamica

L’appartenenza a un gruppo funziona in due modi:

• Assegnata (statica) — aggiungi e rimuovi manualmente. Semplice ma richiede manutenzione costante.
• Dinamica (richiede P1) — definisci una regola e il sistema aggiorna l’appartenenza in automatico. Esempi: “tutti gli utenti con department = Vendite”, “tutti i dispositivi con OS = Windows 11”. Quando un utente cambia reparto, esce dal vecchio gruppo ed entra nel nuovo senza intervento manuale.

Dispositivi: tre modi di connettersi

• Entra ID Registered (BYOD) — dispositivo personale dell’utente. Accede alle app aziendali ma l’azienda ha controllo minimo. Adatto per chi vuole la posta sul telefono personale senza consegnarlo all’IT.
• Entra ID Joined (cloud-only) — dispositivo aziendale gestito al 100% da Entra ID + Intune. L’utente accede con le credenziali aziendali al login di Windows. Niente server locale. Ideale per aziende moderne full-cloud.
• Hybrid Entra ID Joined (ibrido) — joinato sia all’AD locale che a Entra ID. Per chi sta migrando gradualmente al cloud mantenendo ancora un’infrastruttura on-premise.

Il ruolo di Microsoft Intune: Entra ID gestisce l’identità dell’utente, Intune gestisce il dispositivo fisicamente (app, policy, cifratura, remote wipe). I due servizi lavorano in coppia.

App aziendali e Single Sign-On

Entra ID è l’hub centrale di autenticazione non solo per le app Microsoft ma anche per app di terze parti: Salesforce, Box, Dropbox, Google Workspace, ServiceNow, Zoom e centinaia di altre.

Con il Single Sign-On (SSO) l’utente accede una volta con le credenziali Microsoft e non ha bisogno di username e password separati per ogni app. Con il provisioning automatico, quando crei o elimini un utente in Entra ID, l’account viene creato o disabilitato automaticamente anche nell’app collegata. Tutto centralizzato, tutto tracciato.

Autenticazione multi-fattore (MFA)

La password da sola non basta più. Con l’MFA, anche se qualcuno ruba la password, non può accedere senza il secondo fattore. Entra ID supporta diversi metodi, dal meno al più sicuro:

• SMS / Telefonata — codice via SMS o chiamata. Comodo ma vulnerabile al SIM swapping. Da usare solo come fallback.
• App TOTP (Google/Microsoft Authenticator) — codice a 6 cifre che cambia ogni 30 secondi. Molto più sicuro dell’SMS.
• Microsoft Authenticator (notifica push) — approvi il login con un tap sul telefono. Semplice e sicuro. Il metodo consigliato per la maggior parte degli utenti. Entra ID aggiunge la verifica di un numero per prevenire gli attacchi MFA fatigue.
• Passwordless — niente password: solo username + approvazione biometrica sul telefono.
• Windows Hello for Business — impronta digitale o riconoscimento del viso al PC. Niente telefono, niente password.
• FIDO2 Security Key (es. YubiKey) — chiavetta USB/NFC fisica. Il metodo più sicuro in assoluto, resiste al phishing. Ideale per account privilegiati.
• Passkeys — il futuro: biometria del dispositivo, nessuna password. Già disponibile in Entra ID.

Si configurano in Entra ID da: Protezione → Metodi di autenticazione. Puoi abilitare ogni metodo e scegliere a quali utenti o gruppi renderlo disponibile.

Accesso Condizionale (Conditional Access)

L’Accesso Condizionale è la funzionalità di sicurezza più potente di Entra ID. Richiede licenza P1 o superiore. Funziona con logica semplice: SE (condizioni) → ALLORA (azione).

Esempi pratici:

• SE accessi da un paese non in whitelist → BLOCCA
• SE il dispositivo non è gestito da Intune → RICHIEDI MFA
• SE sei un Global Admin → RICHIEDI SEMPRE MFA ovunque
• SE accedi a SharePoint da IP esterno → RICHIEDI MFA
• SE sei in ufficio su IP aziendale → CONSENTI senza MFA (per non disturbare chi lavora in sede)

Ogni policy è composta da tre parti: Assegnazioni (chi e cosa), Condizioni (quando/dove/con quale dispositivo) e Controlli (blocca, consenti, richiedi MFA, richiedi dispositivo conforme).

Consiglio pratico: attiva sempre le nuove policy in modalità “Solo report” prima di renderle operative. Vedrai nei log chi sarebbe stato bloccato, senza bloccare davvero nessuno. Eviti brutte sorprese.

Authentication Strengths: quale MFA richiedere

Le Authentication Strengths ti permettono di specificare non solo “richiedi MFA” ma quale tipo di MFA è accettabile per uno specifico scenario. Per accedere al pannello di Azure puoi richiedere solo FIDO2 o Windows Hello; per Teams puoi accettare qualsiasi forma di MFA. Più controllo granulare sulla sicurezza.

Conditional Access basato sul rischio (P2)

Con P2, il Conditional Access si integra con Identity Protection per reagire automaticamente alle minacce in tempo reale. Entra ID assegna un punteggio di rischio (basso/medio/alto) a ogni accesso e a ogni utente. Puoi creare policy come: “SE rischio accesso = Alto → BLOCCA” o “SE rischio utente = Medio → RICHIEDI cambio password”. Tutto automatico, senza monitoraggio manuale.

Governance: Lifecycle Workflows

I Lifecycle Workflows automatizzano le operazioni legate all’ingresso, al trasferimento e all’uscita dei dipendenti — eliminando le attività manuali ripetitive per il team IT.

• Joiner (nuovo dipendente) — si attiva X giorni prima dell’assunzione. Crea l’account, assegna licenze, aggiunge ai gruppi del dipartimento, invia welcome email con credenziali temporanee, notifica il manager. Il giorno 1 l’utente ha già tutto pronto.
• Mover (cambio ruolo/reparto) — si attiva quando cambiano gli attributi dell’utente. Rimuove i vecchi accessi, aggiunge i nuovi. Zero intervento manuale.
• Leaver (dipendente in uscita) — si attiva X giorni prima della fine contratto. Disabilita l’account, rimuove licenze e accessi, notifica il manager, elimina definitivamente dopo il periodo configurato.

Microsoft fornisce template pronti all’uso in Entra ID → Identity Governance → Lifecycle Workflows. Puoi usarli così come sono o personalizzarli.

Entitlement Management e Access Packages

Gli Access Packages risolvono il problema di dover assegnare accessi multipli uno alla volta. Crei un “pacchetto” che raggruppa tutte le risorse necessarie per un ruolo o un progetto.

Esempio pratico: “Accessi Progetto Alpha” include il team Teams, il sito SharePoint, il Security Group dell’app gestionale e una licenza specifica. Configuri chi può richiederlo, chi approva e per quanto tempo dura. L’utente fa richiesta → il manager approva → tutti gli accessi vengono assegnati automaticamente → dopo 3 mesi scadono automaticamente. Tutto auditabile.

Particolarmente utile per i collaboratori esterni: invece di gestire accessi ad hoc difficili da tracciare, mandi un link per richiedere il pacchetto. L’accesso scade automaticamente a fine progetto.

Da dove iniziare: le priorità pratiche

Microsoft Entra ID può sembrare complesso all’inizio, ma una volta capita la logica — identità, accessi, condizioni — diventa uno strumento molto potente per proteggere la tua organizzazione senza ostacolare il lavoro quotidiano degli utenti.