Il tenant come confine dell’identità

Un tenant Microsoft Entra ID è un’istanza dedicata e isolata del servizio di directory che Microsoft crea automaticamente quando un’organizzazione sottoscrive un servizio cloud (Microsoft 365, Azure, Dynamics). Rappresenta il confine di sicurezza e amministrativo entro cui vivono utenti, gruppi, app registration, service principal e dispositivi. Ogni tenant ha un identificatore univoco (il Tenant ID, un GUID) e almeno un dominio iniziale nella forma <nome>.onmicrosoft.com, a cui si affiancano i custom domain verificati via record DNS.

Concetto chiave per l’esame: un tenant non è un abbonamento. Un tenant può ospitare più subscription Azure, e la stessa directory può essere collegata a più risorse. In scenari multi-organizzazione si parla di multitenancy, gestibile oggi con Microsoft Entra External ID (per scenari B2B e customer identity) e con funzionalità di cross-tenant access settings e multi-tenant organization (MTO).

Edizioni: cosa sblocca ciascun piano

Le funzionalità disponibili dipendono dall’edizione (licenza) assegnata, tipicamente per-utente. Sapere quale feature richiede quale piano è tra le domande più frequenti di SC-300.

  • Entra ID Free: gestione base di utenti e gruppi, provisioning delle app SaaS, self-service password change per utenti cloud, Security Defaults.
  • Entra ID P1: Conditional Access, self-service password reset (SSPR) con write-back on-premises, gruppi dinamici, Microsoft Entra Connect / Cloud Sync avanzato, application proxy.
  • Entra ID P2: include tutto P1 e aggiunge Microsoft Entra ID Protection (rilevamento rischio utente e di accesso, sign-in risky), Privileged Identity Management (PIM) per l’attivazione just-in-time dei ruoli, e entitlement management (access package, access review avanzate).

Regola mnemonica: se lo scenario parla di policy di accesso condizionale → serve almeno P1; se parla di rischio, elevazione temporanea dei privilegi o pacchetti di accesso → serve P2. Le licenze P1/P2 arrivano anche nei bundle Microsoft Entra ID Governance e nelle suite (es. Microsoft 365 E3 include P1, E5 include P2).

Superfici di amministrazione: portale e Microsoft Graph

Entra ID espone due superfici principali di gestione.

  • Il Microsoft Entra admin center (entra.microsoft.com) è l’interfaccia grafica per gestire identità, ruoli, Conditional Access, applicazioni e governance. È la superficie preferita per operazioni puntuali e per l’apprendimento.
  • Microsoft Graph è l’API unificata e programmatica sottostante: ogni oggetto (utente, gruppo, ruolo, policy) è esposto come risorsa REST. Per automazione si usano Microsoft Graph PowerShell SDK, l’endpoint REST diretto o Graph Explorer per il testing. Da ricordare che il modulo legacy AzureAD/MSOnline è deprecato: la strada attuale è Graph.
Connect-MgGraph -Scopes "User.Read.All","RoleManagement.Read.Directory"
Get-MgUser -Top 5

Ruoli di directory built-in

I ruoli di directory (o Entra roles) controllano cosa un principal può fare all’interno della directory: creare utenti, gestire gruppi, configurare Conditional Access, amministrare app. Esistono decine di ruoli built-in pensati secondo il principio del least privilege, tra cui:

  • Global Administrator — controllo completo (da assegnare al minor numero possibile di account, idealmente in PIM).
  • User Administrator, Groups Administrator, Authentication Administrator.
  • Privileged Role Administrator — gestisce le assegnazioni degli altri ruoli.
  • Global Reader — sola lettura per audit e verifiche.

Con PIM (P2) questi ruoli diventano eligible anziché permanenti, attivabili just-in-time con motivazione e MFA. In alternativa ai ruoli built-in si possono creare custom roles e delimitarne l’ambito con le administrative unit (AU).

Trappole tipiche d’esame

  • Scenario: devi bloccare l’accesso da IP non attendibili con una policy di accesso condizionale, ma sei in Entra ID Free. → Risposta: la feature richiede P1; con Free hai solo Security Defaults (non granulari).
  • Scenario: vuoi che gli amministratori attivino il ruolo Global Administrator solo quando serve, con approvazione. → Risposta: serve PIM, disponibile con Entra ID P2.
  • Scenario: un utente ha il ruolo Owner su una subscription Azure ma non riesce a creare utenti in Entra. → Risposta: Azure RBAC ≠ Entra roles. Owner opera sul piano risorse (control plane Azure); per creare utenti serve un ruolo di directory come User Administrator.
  • Scenario: serve automatizzare la creazione massiva di utenti senza portale. → Risposta: usa Microsoft Graph (SDK PowerShell o REST), non moduli AzureAD/MSOnline deprecati.
  • Scenario: vuoi delegare la gestione utenti solo a una filiale. → Risposta: assegna il ruolo con ambito su una administrative unit, non a livello di intera directory.