Privileged Identity Management (PIM) è il servizio di Microsoft Entra ID che governa l’accesso privilegiato riducendo lo standing access: invece di lasciare i ruoli amministrativi assegnati in modo permanente, PIM concede il privilegio solo quando serve, per un tempo limitato e con controlli sopra ogni attivazione. È un pilastro del principio di least privilege e della identity governance, e richiede una licenza Microsoft Entra ID P2 (inclusa in Entra ID Governance / EMS E5) per ogni utente che ne beneficia.

Assegnazioni eligible vs active

La distinzione fondamentale è tra due tipi di assegnazione:

  • Eligible: l’utente è idoneo a usare il ruolo ma non ha alcun privilegio finché non lo attiva. Questo è il modello Just-In-Time (JIT) e la scelta corretta per la maggior parte degli amministratori.
  • Active: il ruolo è già effettivo, come un’assegnazione tradizionale. Anche un’assegnazione active può però essere time-bound (con data di inizio/fine) invece che permanente.

Ogni assegnazione può quindi essere permanente o a tempo. La combinazione consigliata per gli amministratori è eligible + time-bound, così da minimizzare l’esposizione.

Attivazione JIT e controlli

Quando un utente eligible attiva un ruolo, PIM applica le regole definite nelle role settings (activation policy):

  • Durata massima dell’attivazione (es. 1–8 ore), scaduta la quale il privilegio decade automaticamente.
  • MFA richiesta all’attivazione (o soddisfatta tramite Authentication Context e Conditional Access).
  • Justification testuale e/o riferimento a un ticket ITSM.
  • Approval workflow: l’attivazione resta pending finché un approver designato non la concede. Se non configuri approver, l’attivazione è automatica dopo gli altri controlli.

Gli ambiti gestiti da PIM

PIM si estende su tre superfici, spesso confuse all’esame:

  • PIM for Entra roles: ruoli directory come Global Administrator, User Administrator, Security Administrator. Qui vive la maggior parte degli scenari SC-300.
  • PIM for Azure resources: ruoli Azure RBAC su management group, subscription, resource group o singola risorsa (es. Owner, Contributor). Utile quando l’accesso privilegiato riguarda l’infrastruttura Azure, non la directory.
  • PIM for Groups: rende eligible l’appartenenza a un gruppo. È la leva per portare il JIT a scenari che i ruoli nativi non coprono — ad esempio accesso a role-assignable groups, licenze, app o gruppi che a loro volta concedono ruoli in servizi come Microsoft 365. Attivando la membership l’utente eredita JIT tutto ciò che il gruppo concede.

Access review e alert

La governance non finisce all’attivazione. Le Access Reviews integrate in PIM ricertificano periodicamente chi è eligible o active su un ruolo: i reviewer (l’utente stesso, un manager o un delegato) confermano o rimuovono l’accesso, con eventuale auto-apply del risultato. Sono lo strumento per evitare l’accumulo di privilegi nel tempo.

PIM genera inoltre alert e security insights: ruoli assegnati fuori da PIM, troppi Global Administrator, account che non usano MFA, o ruoli attivati troppo raramente per giustificare l’idoneità. Combinati con audit log e notifiche email, chiudono il ciclo di monitoraggio.

Trappole tipiche d’esame

  • Scenario: un utente è eligible per User Administrator ma segnala di non poter gestire gli utenti. → L’assegnazione eligible non concede alcun privilegio finché non viene attivata; deve eseguire l’activation JIT, non serve una nuova assegnazione.
  • Scenario: serve richiedere MFA + approvazione + giustificazione solo al momento dell’uso del ruolo Global Administrator. → Configura le role settings/activation policy in PIM, non una policy separata; assegnazione eligible, non active.
  • Scenario: PIM non compare o le funzioni JIT non sono disponibili. → Manca la licenza Microsoft Entra ID P2 per gli utenti coinvolti.
  • Scenario: bisogna rendere JIT l’accesso a un gruppo che concede licenze o è role-assignable. → Usa PIM for Groups rendendo eligible la membership, non PIM for Entra roles.
  • Scenario: obiettivo ridurre lo standing access degli amministratori garantendo che l’accesso resti giustificato nel tempo. → Assegnazioni eligible + time-bound secondo least privilege, con Access Reviews ricorrenti per ricertificare le idoneità.