Perché servono gli Access Reviews
Gli Access Reviews (parte di Microsoft Entra ID Governance) rispondono a una domanda ricorrente in ogni organizzazione: chi ha accesso a cosa, e quell’accesso serve ancora? Nel tempo gli utenti cambiano ruolo, i progetti finiscono e i guest restano nei tenant molto dopo la fine della collaborazione. Il risultato è privilege creep e una superficie d’attacco che cresce silenziosamente. La recertification periodica trasforma la pulizia degli accessi da attività manuale e sporadica a un processo pianificato, auditabile e attestato da un revisore responsabile.
Cosa si può ricertificare
Un access review si crea sempre attorno a una risorsa target. Le opzioni principali che un Identity Administrator deve saper scegliere sono:
- Membership dei gruppi — sia gruppi di sicurezza sia Microsoft 365 groups; include i guest membri dei team.
- Assegnazioni ad applicazioni (app access) — chi è assegnato a una enterprise application; utile per SaaS con licenze costose.
- Ruoli directory di Entra ID e ruoli Azure (RBAC) — le assegnazioni privilegiate come Global Administrator o User Access Administrator.
- Access package in Entitlement Management — ricertifica l’intero bundle di risorse concesse tramite il package, non un singolo gruppo.
La scelta del target determina il resto della configurazione. Per governare tutti gli utenti esterni in un colpo solo esiste inoltre la review specifica sugli inactive guest users e la guest access review collegata all’entitlement management.
Chi sono i reviewer
La configurazione del reviewer è la decisione architetturale centrale:
- Self-review — l’utente attesta di aver ancora bisogno dell’accesso. Rapido e scalabile, ma poco affidabile per contesti sensibili: le persone tendono a confermarsi sempre.
- Manager — il review viene instradato al manager definito nell’attributo Manager del profilo Entra. Ottimo default per la membership dei dipendenti, ma richiede che l’attributo sia popolato: serve sempre un fallback reviewer per gli utenti senza manager (tipicamente i guest).
- Gruppo o utenti designati (selected users/groups) — un team di governance, i resource owner o i group owner decidono al posto degli utenti. Indicato per app critiche e ruoli privilegiati.
Si possono impostare multi-stage reviews (es. prima il manager, poi un security team) e abilitare i recommendations basati sull’attività di sign-in, che suggeriscono al revisore di negare gli accessi inattivi da 30 giorni.
Auto-apply e gestione dei non approvati
Un review può essere one-time o ricorrente (settimanale, mensile, trimestrale, annuale) — ed è la ricorrenza che realizza la vera recertification. Attivando auto-apply results to resource, l’esito viene applicato automaticamente alla scadenza: chi non è approvato viene rimosso dal gruppo/app/ruolo senza intervento manuale. Se l’auto-apply è disattivato, l’amministratore deve applicare i risultati a mano.
Il parametro più delicato è “If reviewers don’t respond”, che decide il destino di chi resta senza decisione:
- No change — mantiene l’accesso (conservativo).
- Remove access — revoca l’accesso.
- Approve access — conferma l’accesso.
- Take recommendations — applica il suggerimento del sistema.
Focus: recertification dei guest
I guest users sono la categoria a rischio più alto perché sfuggono ai processi HR interni. La best practice è una review ricorrente sulla loro membership o sugli inactive guest, con reviewer = manager con fallback oppure i group owner, e recommendations abilitate per intercettare i guest inattivi. È lo strumento con cui si dimostra a un auditor che l’accesso esterno è rivisto a cadenza regolare.
Integrazione con PIM per i ruoli privilegiati
Quando il target è un ruolo privilegiato, l’access review si integra con Privileged Identity Management (PIM): da PIM stesso si configurano review ricorrenti sulle assegnazioni eligible e active di ruoli Entra e Azure. È il pattern corretto per attestare periodicamente chi può elevarsi a Global Administrator, chiudendo il cerchio tra just-in-time access e recertification.
Trappole tipiche d’esame
- Scenario: vuoi ricertificare i guest ma temi di revocare accessi legittimi a chi non risponde. → Imposta “If reviewers don’t respond” = No change (o Take recommendations), non Remove access, altrimenti la mancata risposta di un revisore toglie accessi ancora validi.
- Scenario: devi rivedere periodicamente chi è assegnato al ruolo Global Administrator. → Configura l’access review da PIM sul ruolo, non un review di gruppo generico.
- Scenario: i risultati devono applicarsi da soli alla scadenza senza intervento admin. → Abilita auto-apply results to resource; senza di esso l’esito resta da applicare manualmente.
- Scenario: vuoi che siano i responsabili a decidere ma molti guest non hanno un manager in Entra. → Usa reviewer = manager con un fallback reviewer designato, altrimenti quei record restano senza revisore.
- Scenario: serve governare l’intero set di risorse concesse tramite un bundle. → Crea la review sull’access package in Entitlement Management, non sui singoli gruppi sottostanti.