In Microsoft 365 l’identità è il vero perimetro di sicurezza: non conta più solo “dove” ti trovi (la rete aziendale), ma “chi sei” e “in quali condizioni” accedi. Il servizio che gestisce tutto questo è Microsoft Entra ID (l’ex Azure AD), la directory cloud che autentica utenti, applicazioni e dispositivi per l’intero tenant.

Che cos’è Microsoft Entra ID

Microsoft Entra ID è l’Identity Provider (IdP) cloud di Microsoft 365. Custodisce gli account utente e di gruppo, i dispositivi registrati e le identità delle applicazioni, ed è ciò che permette il Single Sign-On (SSO): un solo set di credenziali per accedere a Exchange, SharePoint, Teams e migliaia di app SaaS di terze parti.

È importante distinguere due concetti:

  • Autenticazione (AuthN): verifica chi sei (login con credenziali).
  • Autorizzazione (AuthZ): stabilisce cosa puoi fare una volta autenticato (permessi, ruoli).

Autenticazione e MFA

La password da sola è debole. La multi-factor authentication (MFA) rafforza il sign-in richiedendo almeno due fattori di categorie diverse:

  • Qualcosa che sai — la password o un PIN.
  • Qualcosa che hai — il telefono con Microsoft Authenticator, un token, una smart card.
  • Qualcosa che sei — impronta digitale o riconoscimento facciale (biometria).

L’approccio più moderno è passwordless: si elimina del tutto la password. Le opzioni chiave sono Microsoft Authenticator (approvazione con notifica push e number matching), le passkey / FIDO2 security key e Windows Hello for Business. Il vantaggio è duplice: più sicurezza (niente password da rubare tramite phishing) e migliore esperienza utente.

Conditional Access

Conditional Access è il motore di policy che applica il principio “se… allora…”. Valuta una serie di segnali al momento dell’accesso e decide una conseguenza.

Segnali tipici:

  • Utente o gruppo di appartenenza.
  • Applicazione richiesta (es. Exchange Online).
  • Posizione geografica / indirizzo IP.
  • Stato del dispositivo (conforme e gestito da Microsoft Intune?).
  • Rischio del sign-in calcolato dall’intelligenza artificiale.

Conseguenze possibili: consentire l’accesso, bloccarlo, richiedere MFA, oppure imporre un dispositivo conforme. Esempio classico: “se un utente accede da fuori dalla rete aziendale, allora richiedi MFA”. Conditional Access richiede licenze Microsoft Entra ID P1 o superiori (non è incluso nel piano Free).

Il modello Zero Trust

Tutte queste tecnologie servono la strategia Zero Trust, riassunta in tre principi che l’esame ama citare testualmente:

  • Verify explicitly — autentica e autorizza sempre in base a tutti i segnali disponibili, mai per fiducia implicita.
  • Use least privilege access — concedi i permessi minimi necessari, con accessi just-in-time (es. Privileged Identity Management).
  • Assume breach — progetta come se l’attaccante fosse già dentro: segmenta, cifra, monitora.

Il motto sintetico è “never trust, always verify”: nessun utente o dispositivo è affidabile a priori, nemmeno all’interno del network.

Accesso guest ed esterno (B2B)

Le organizzazioni collaborano con partner e fornitori esterni. Microsoft Entra External ID e in particolare la funzione B2B collaboration permettono di invitare utenti esterni come guest: la persona usa la propria identità (l’account della sua azienda o un account personale) e riceve accesso mirato a Teams, SharePoint o singole app, senza che tu debba creare per lei un account interno o gestirne la password.

  • B2B = collaborazione con partner e ospiti (guest).
  • B2C / External ID for customers = identità per i clienti finali di un’app rivolta al pubblico.

Le stesse policy di Conditional Access e MFA possono essere applicate anche agli utenti guest, mantenendo il controllo.

Trappole tipiche d’esame

  • Scenario: vuoi obbligare la MFA solo quando gli utenti accedono da reti non attendibili. → Risposta: Conditional Access (non abilitare la MFA per-utente su tutti).
  • Scenario: devi dare a un fornitore esterno accesso a un sito SharePoint senza creargli un account aziendale. → Risposta: invitalo come guest con Microsoft Entra B2B.
  • Scenario: la domanda cita “Azure AD”. → Ricorda che il nome attuale è Microsoft Entra ID: sono lo stesso servizio.
  • Scenario: vuoi eliminare del tutto le password per il login. → Risposta: passwordless con Microsoft Authenticator, passkey FIDO2 o Windows Hello.
  • Scenario: quale principio Zero Trust impone di concedere solo i permessi strettamente necessari? → Risposta: least privilege access (non “assume breach”, che riguarda invece il progettare presupponendo una violazione).