Quando un’organizzazione acquista Microsoft 365, Microsoft crea per lei un contenitore logico e isolato che ospita utenti, licenze, dati e configurazioni: questo contenitore si chiama tenant. Capire cos’è il tenant e come si amministra è il punto di partenza di MS-900, perché quasi ogni scenario d’esame presuppone che tu sappia “dove si va” per svolgere un determinato compito.

Cos’è un tenant Microsoft 365

Il tenant è un’istanza dedicata e isolata dei servizi cloud Microsoft, associata all’organizzazione. Al suo interno vive la directory di identità gestita da Microsoft Entra ID, che contiene utenti, gruppi e app. Ogni tenant è separato dagli altri: i dati di un’azienda non sono mai mescolati con quelli di un’altra (multi-tenancy con isolamento logico).

Concetti chiave:

  • Un tenant = un’organizzazione. Sottoscrizioni e licenze (Microsoft 365, Entra ID P1/P2, Intune) si “appoggiano” allo stesso tenant.
  • L’identità è la spina dorsale: senza Entra ID non ci sono utenti né accesso ai servizi.
  • La residenza dei dati dipende dalla region scelta alla creazione del tenant.

Domini: onmicrosoft.com vs domini custom

Alla creazione, ogni tenant riceve automaticamente un dominio iniziale nella forma nomeazienda.onmicrosoft.com. È funzionante ma poco professionale: gli indirizzi email risulterebbero mario@nomeazienda.onmicrosoft.com.

Per questo si aggiunge un dominio custom (es. contoso.it), verificandone la proprietà tramite un record TXT nel DNS pubblico. Dopo la verifica si aggiornano i record (in particolare MX per la posta e i record per l’autoconfigurazione) e gli utenti possono usare indirizzi come mario@contoso.it.

  • Il dominio onmicrosoft.com non può essere rimosso e resta come dominio di fallback.
  • Un dominio custom può essere impostato come dominio predefinito per i nuovi utenti.

Panoramica degli admin center

Microsoft 365 non ha un’unica console: le attività sono distribuite in portali specializzati. Sapere quale usare è tipico delle domande d’esame.

  • Microsoft 365 admin center — il portale generale: creazione utenti, assegnazione licenze, gruppi, gestione delle sottoscrizioni, service health e ticket di supporto. È il punto di partenza per la maggior parte delle attività quotidiane.
  • Teams admin center — policy di riunioni, chiamate, criteri per app e messaggistica di Microsoft Teams.
  • Exchange admin center — cassette postali, mailbox condivise, regole di flusso della posta (mail flow), distribuzione e impostazioni email.
  • Microsoft Entra admin center — gestione avanzata di identità e accessi: utenti e gruppi, Conditional Access, MFA, ruoli, app registrations.
  • Microsoft Intune admin center — gestione di dispositivi e app (MDM/MAM), policy di conformità e configurazione per endpoint.
  • Microsoft Purview — governance, compliance, Sensitivity labels, Data Loss Prevention (DLP), retention ed eDiscovery.

Nota: la sicurezza operativa (incidenti, minacce) si gestisce nel portale di Microsoft Defender XDR, distinto da Purview che si occupa di compliance e protezione dei dati.

Ruoli amministrativi di base

Per rispettare il principio del privilegio minimo, Entra ID offre ruoli amministrativi predefiniti da assegnare in base alle mansioni, evitando di distribuire il ruolo più potente a tutti.

  • Global Administrator — controllo completo del tenant; va assegnato a pochissime persone e protetto con MFA.
  • User Administrator — gestisce utenti, gruppi e reset password (con limiti sugli admin).
  • Billing Administrator — acquisti, fatturazione e sottoscrizioni.
  • Helpdesk Administrator — reset password e supporto agli utenti non-admin.
  • Exchange / Teams / SharePoint Administrator — ruoli specifici per il singolo servizio.

Trappole tipiche d’esame

  • Devi aggiungere contoso.it al tenant → verifichi la proprietà del dominio aggiungendo un record TXT nel DNS; l’aggiornamento MX serve poi a instradare la posta, non a verificare.
  • Un collega deve solo resettare le password degli utenti → assegni il ruolo Helpdesk Administrator, non Global Administrator (privilegio minimo).
  • Devi applicare una policy di Conditional Access → vai nel Microsoft Entra admin center, non nel Microsoft 365 admin center generale.
  • Serve creare regole DLP o Sensitivity labels → è Microsoft Purview; la risposta con “Compliance Center” è obsoleta.
  • Non puoi rimuovere il dominio onmicrosoft.com → resta sempre come dominio di fallback anche dopo aver aggiunto un dominio custom predefinito.