Identita, autenticazione e RBAC di Intune

Identità e autenticazione degli endpoint

In un tenant moderno gestito con Intune e Microsoft Entra ID, l’autenticazione dell’utente sul dispositivo è il primo controllo di sicurezza. L’obiettivo architetturale è arrivare al passwordless: eliminare la password riutilizzabile come segreto principale, sostituendola con credenziali legate all’hardware e sbloccate localmente da PIN o biometria.

Windows Hello for Business

Windows Hello for Business (WHfB) genera una coppia di chiavi asimmetriche protetta dal TPM del dispositivo. La chiave privata non lascia mai il device e viene sbloccata con un gesto locale (PIN o biometria): il PIN quindi non è una password e non viaggia sulla rete. Esistono più modelli di deployment, e la scelta dipende dallo stato dell’identità:

• Cloud Kerberos trust (raccomandato oggi): usa Microsoft Entra Kerberos per emettere i TGT verso Active Directory on-prem. Non richiede certificati per l’utente né una PKI complessa. È la scelta corretta in scenari hybrid con risorse on-prem.
• Key trust: la chiave pubblica viene scritta nell’oggetto AD; funziona senza PKI per l’autenticazione utente, ma richiede la sincronizzazione e il supporto dei domain controller.
• Certificate trust: modello legacy che richiede AD CS/NDES; da preferire solo quando servono certificati per casi specifici.

Per i dispositivi Entra join puri (cloud-only), WHfB verso le risorse cloud funziona senza infrastruttura on-prem. Il rollout si configura via Intune con la policy Account protection (Windows Hello for Business), impostando lunghezza PIN, biometria e requisito TPM.

Windows LAPS gestito da Entra/Intune

Windows LAPS (Local Administrator Password Solution) risolve il rischio dell’account administrator locale con password condivisa e statica. LAPS rota automaticamente la password dell’admin locale e la deposita in un backup sicuro. La scelta architetturale chiave è la destinazione del backup:

• Backup su Microsoft Entra ID: ideale per dispositivi Entra join cloud-only. La password è consultabile dal portale/Graph solo da chi ha il permesso, ed è protetta da RBAC.
• Backup su Windows Server Active Directory: per dispositivi hybrid joined con AD on-prem.

LAPS si distribuisce come policy Intune (Endpoint security → Account protection → Local admin password solution), definendo nome dell’account, lunghezza/complessità della password e intervallo di rotazione. Al recupero della password, LAPS può forzarne la rotazione post-utilizzo per limitare la finestra di esposizione.

RBAC di Intune, scope tag e delega

L’RBAC di Intune delega chi può fare cosa all’interno di Intune. I built-in role (es. Help Desk Operator, Policy and Profile Manager, School Administrator, Endpoint Security Manager) raggruppano permessi granulari su workload come app, configurazioni, compliance e azioni remote (wipe, retire, restart).

Una role assignment in Intune combina tre elementi:

• il ruolo (set di permessi),
• i members (gruppi Entra di amministratori a cui concedere il ruolo),
• lo scope = gruppi di dispositivi/utenti gestiti + scope tag.

Scope tag

Uno scope tag è un’etichetta applicata sia agli oggetti Intune (policy, app, profili) sia alle role assignment. Serve a segmentare la gestione — per esempio per sede geografica o business unit — così che l’amministratore della filiale di Milano veda e gestisca solo gli oggetti taggati “Milano”. Punto cruciale d’esame: lo scope tag filtra la visibilità degli oggetti, non concede nuovi permessi. Un ruolo Help Desk resta Help Desk anche con tag diversi; il tag decide solo su quali oggetti quei permessi si applicano.

Per delegare correttamente a un team regionale si combinano quindi scope tag (quali oggetti) + scope groups di dispositivi (su quali dispositivi agire) + il built-in role giusto (quali azioni).

Trappole tipiche d’esame

• Scenario: serve WHfB in ambiente hybrid con risorse on-prem senza dispiegare una PKI → risposta: Cloud Kerberos trust, non Certificate trust.
• Scenario: rotazione automatica della password admin locale su dispositivi Entra join cloud-only → risposta: Windows LAPS con backup su Microsoft Entra ID (non su AD).
• Scenario: gli amministratori regionali vedono oggetti di altre sedi → risposta: applicare scope tag per segmentare la visibilità; ricorda che il tag non aggiunge permessi, li restringe agli oggetti taggati.
• Scenario: assegnare permessi di gestione dispositivi solo dentro Intune → risposta: usare un Intune built-in role, non un directory role di Entra (es. Global/Intune Administrator), che concede autorità a livello di tutta la directory.
• Scenario: il PIN di Windows Hello sembra “meno sicuro” di una password → risposta: il PIN è locale e legato al TPM, non trasmesso in rete, quindi è credenziale passwordless più robusta.