Due superfici di branding, due ruoli diversi
Il tema dell’organizzazione vive nel Microsoft 365 admin center, sotto Settings > Org Settings, scheda Organization profile, voce Custom themes. È ciò che compare nella barra di navigazione in alto, cioè nel Microsoft 365 suite header, quando l’utente ha già effettuato l’accesso. Ogni tema si compone di tre schede: General per il nome e l’assegnazione ai gruppi, Logos e Colors.
Il default theme si applica a tutti nell’organizzazione, non può essere rinominato e non può essere eliminato finché esiste anche un solo altro tema. Accanto ad esso puoi creare fino a quattro group theme, per un totale di cinque. Un group theme si assegna a un massimo di cinque Microsoft 365 Groups: non a security group, non a distribution list, e non a utenti scelti uno per uno. Se una persona appartiene a più group theme, vede il tema predefinito.
Nella scheda Logos trovi il Default logo, l’Alternate logo pensato per i temi scuri, e l’On-click link, cioè l’indirizzo verso cui l’utente viene portato quando seleziona il logo; se non lo imposti, il logo punta alla home page di Microsoft 365. La scheda Colors espone Navigation bar color, Text and icon color e Accent color, con un Reset color per tornare ai valori originali. Il portale segnala quando il contrasto scende sotto il rapporto raccomandato di 4,5:1, ma è un avviso, non un blocco: puoi salvare comunque. Per personalizzare i temi serve il ruolo Global Administrator; i Global Reader hanno accesso in sola lettura.
L’altra superficie è il company branding di Microsoft Entra, che personalizza la pagina di accesso, non l’header. Si configura nel Microsoft Entra admin center sotto Entra ID > Custom Branding, e il ruolo minimo richiesto è Organizational Branding Administrator. Gli elementi sono altri: Favicon, Background image, Page background color, i Visual Templates di layout (sfondo a schermo intero oppure parziale), le sezioni Header e Footer con le opzioni Show ‘Privacy & Cookies’ e Show ‘Terms of Use’, e infine il Sign-in form con Banner logo, Square logo per tema chiaro e scuro, Username hint text e Sign-in page text. Con Add browser language aggiungi varianti per lingua del browser, che sovrascrivono l’esperienza predefinita. Due dettagli che sfuggono spesso: gli URL esterni nel footer vengono mostrati come testo ma non sono cliccabili, e nelle collaborazioni B2B l’ospite vede il branding del proprio tenant di origine, non il tuo.
Domini: chi li aggiunge, come si verificano, come si tolgono
Per aggiungere, modificare o rimuovere domini serve il ruolo Domain Name Administrator. La documentazione è netta: amministratori personalizzati o utenti normali non possono farlo, perché la modifica riguarda l’intero tenant. Il percorso è Settings > Domains > + Add domain.
Il passaggio non aggirabile è la verifica di proprietà. Se il registrar supporta Domain Connect, Microsoft 365 conferma la proprietà e aggiunge i record DNS necessari in automatico. Altrimenti si procede a mano scegliendo fra un record TXT, un record MX — con l’avvertenza di impostare un valore alto nel campo Priority, per non interrompere la posta del provider attuale — oppure un file di testo caricato nella cartella principale del sito. Solo dopo la verifica il wizard propone la pagina Add DNS records per i servizi selezionati. Se qualcosa non torna, la colonna Status della pagina Domains e il comando Check health nel menu delle altre azioni descrivono i problemi in corso.
Il dominio onmicrosoft.com ricevuto alla registrazione è il fallback domain: serve da indirizzo di ripiego per nomi utente, indirizzi e alias dei gruppi, e garantisce il recapito quando un dominio personalizzato viene rimosso. Puoi crearne altri, fino a un totale di cinque, ma una volta creati non si eliminano, e uno solo alla volta può essere il fallback (Make fallback domain). Rimuovere un dominio personalizzato è invece un lavoro di bonifica: prima si spostano gli utenti con Change domains o Manage username, poi i gruppi e le distribution list che usano quel suffisso, e solo alla fine si usa Remove domain. Gli account rimasti tornano al dominio .onmicrosoft.com come SMTP primario e UserPrincipalName.
Org settings, profilo e contatti dell’organizzazione
La pagina Org settings è organizzata in schede. La scheda Services raccoglie le impostazioni dei singoli servizi — è lì, per esempio, che si scelgono sistema operativo e tipo di account predefiniti per i nuovi Cloud PC di Windows 365. La scheda Security & privacy ospita impostazioni trasversali come l’Idle session timeout, che disconnette gli utenti inattivi dalle app web di Microsoft 365. Vale la pena leggerne i limiti, perché sono un classico da esame: non tocca le app desktop e mobile, si applica a tutta l’organizzazione e non può essere limitato a utenti o gruppi specifici, e quando è attivo prevale sulle policy di timeout di Outlook sul web e di SharePoint. Per segmentare per utente o per gruppo serve invece Conditional Access. L’attivazione iniziale richiede il ruolo Global admin, mentre Security admin, Application admin e Cloud Application admin possono vederlo, disattivarlo o modificarne la durata.
I contatti istituzionali del tenant stanno invece in Microsoft Entra, sotto Entra ID > Overview > Properties, e il ruolo minimo indicato è Billing Administrator. Qui compili Technical contact, Global privacy contact e Privacy statement URL. Se non indichi un contatto privacy, in caso di violazione dei dati relativa ai servizi Microsoft Entra Microsoft contatta i tuoi Global Administrator; se non compili né il contatto né l’informativa, gli ospiti esterni vedono un messaggio che dichiara che la tua organizzazione non ha fornito i link ai propri termini. Nota infine che il nome dell’organizzazione non si cambia da soli: serve compilare un modulo e passare dal supporto, e il paese o l’area geografica non è modificabile per nulla.
Che cosa verifica l’esame
AB-650 è in beta e la soglia di superamento è 700. Su questo obiettivo le domande raramente chiedono di elencare i campi: chiedono in quale portale si compie l’azione e con quale ruolo. L’errore più frequente è scambiare le due superfici di branding — se lo scenario parla della schermata dove l’utente digita le credenziali, la risposta è company branding in Entra con Organizational Branding Administrator; se parla della barra in alto dentro le app, è il tema in Org settings. Il secondo errore è pensare che un group theme si assegni a un security group o a singoli utenti, quando la mappatura ammette solo Microsoft 365 Groups. Il terzo è confondere il fallback domain con il dominio che stai aggiungendo: il primo è di ripiego e non si elimina, il secondo si rimuove solo dopo aver liberato ogni riferimento.