Per anni la sicurezza informatica si è concentrata sul perimetro di rete: firewall, VPN e reti aziendali chiuse tenevano “dentro” ciò che era fidato e “fuori” ciò che non lo era. Con il cloud, il lavoro ibrido e i dispositivi mobili quel perimetro è evaporato: le persone accedono ad applicazioni SaaS come Microsoft 365 da qualsiasi rete e device. Oggi la domanda non è più “da quale rete arrivi?” ma “chi sei e cosa puoi fare?”. Per questo l’identità è diventata il nuovo perimetro di sicurezza primario e il punto di partenza del modello Zero Trust (“verifica sempre in modo esplicito”).

Authentication vs Authorization

Sono due concetti distinti che l’esame ama confondere.

  • Authentication (AuthN) — chi sei. È il processo che verifica l’identità di chi tenta di accedere, tipicamente confrontando credenziali (password, codice MFA, biometria). Risponde alla domanda “sei davvero chi dici di essere?”.
  • Authorization (AuthZ) — cosa puoi fare. Avviene dopo l’autenticazione e determina a quali risorse l’identità ha accesso e con quale livello di permesso (lettura, scrittura, amministrazione).

Regola mnemonica: prima ti autentichi, poi vieni autorizzato. Un’identità può essere autenticata correttamente e ciononostante non essere autorizzata ad accedere a una specifica risorsa.

Identity provider e Single Sign-On

Un identity provider (IdP) è un servizio che crea, gestisce e verifica le identità e emette i token di sicurezza usati dalle applicazioni. Microsoft Entra ID è l’identity provider cloud di Microsoft (l’evoluzione di quello che un tempo si chiamava Azure AD).

Un IdP centralizzato abilita il Single Sign-On (SSO): l’utente si autentica una sola volta e ottiene l’accesso a più applicazioni senza reinserire le credenziali. Meno password da ricordare significa meno password deboli e riutilizzate, quindi meno superficie d’attacco.

Active Directory e federation

  • Active Directory Domain Services (AD DS) è la directory on-premises tradizionale, basata su domini e su protocolli come Kerberos e LDAP. Da sola non autentica direttamente le app SaaS moderne su Internet.
  • La federation stabilisce una relazione di trust tra due domini o IdP distinti, così che un’identità verificata da un provider sia accettata dall’altro. È il meccanismo che permette, ad esempio, di collaborare con utenti di un’altra organizzazione. Protocolli tipici del mondo cloud/moderno sono SAML, OAuth 2.0 e OpenID Connect.

In ambienti reali si usa Microsoft Entra Connect per sincronizzare le identità da AD DS a Entra ID, ottenendo un modello ibrido.

I quattro pilastri dell’identità

Microsoft descrive quattro aree fondamentali su cui costruire un’infrastruttura di identità:

  • Administration — creazione e gestione del ciclo di vita di identità, gruppi e policy: chi ha un account, con quali attributi, e come viene dismesso.
  • Authentication — verifica dell’identità tramite credenziali e fattori aggiuntivi (es. MFA).
  • Authorization — determinazione, in base a ruoli, gruppi e policy, di ciò a cui l’identità può accedere.
  • Auditing — tracciamento e reporting di chi ha fatto cosa e quando (accessi, modifiche, tentativi falliti), essenziale per compliance e indagini di sicurezza.

Insieme, questi pilastri coprono l’intero ciclo: provisioning → accesso → controllo permessi → verifica.

Trappole tipiche d’esame

  • Scenario: un utente inserisce correttamente password e codice MFA ma non riesce ad aprire un file SharePoint riservato. Cosa è fallito? → L’authorization (AuthZ), non l’authentication: l’identità è verificata ma non ha i permessi sulla risorsa.
  • Scenario: vuoi che i dipendenti accedano a decine di app SaaS con un solo login. Quale concetto risolve il problema? → Single Sign-On (SSO) tramite un identity provider centralizzato (Microsoft Entra ID).
  • Scenario: devi permettere a un’azienda partner con la propria directory di far accedere i suoi utenti alle tue risorse senza creargli account interni. Cosa configuri? → Una federation (relazione di trust tra i due identity provider).
  • Scenario: la domanda cita “Azure AD” o “Azure Active Directory”. → È la vecchia denominazione: il servizio corretto e attuale è Microsoft Entra ID.
  • Scenario: i revisori chiedono un report di tutti i tentativi di accesso falliti dell’ultimo mese. Quale pilastro dell’identità copre questa esigenza? → Auditing.