La identity governance risponde a una domanda semplice ma cruciale: le persone giuste hanno il giusto livello di accesso, solo per il tempo necessario? In Microsoft Entra ID questo obiettivo si raggiunge con un insieme di strumenti — Privileged Identity Management (PIM), access reviews, entitlement management e Terms of Use — che governano il ciclo di vita degli accessi e riducono il rischio legato ai privilegi non necessari.

Il problema dello standing access

Assegnare in modo permanente ruoli potenti (ad esempio Global Administrator) crea standing access: privilegi sempre attivi, 24 ore su 24, anche quando non servono. Ogni account con privilegi permanenti è una superficie d’attacco costante: se le credenziali vengono compromesse, l’attaccante eredita subito quei poteri. L’identity governance mira a passare da un modello “sempre amministratore” a un modello just-in-time e least privilege.

Privileged Identity Management (PIM)

PIM gestisce, controlla e monitora l’accesso alle risorse privilegiate in Entra ID e in Azure. Il suo principio chiave è trasformare le assegnazioni da permanenti (active) a idonee (eligible): l’utente non ha il ruolo attivo, ma può attivarlo su richiesta quando ne ha bisogno.

Caratteristiche principali:

  • Accesso just-in-time: il ruolo si attiva solo al momento del bisogno.
  • Accesso a tempo (time-bound): l’attivazione ha una durata limitata (es. poche ore) e scade automaticamente.
  • Approvazione e MFA: l’attivazione può richiedere una giustificazione, l’MFA e l’approvazione di un responsabile.
  • Alert e audit log: ogni attivazione è tracciata, con notifiche sulle assegnazioni sensibili.
  • Access review integrate sui ruoli privilegiati.

PIM riduce così lo standing access: anche un amministratore possiede il ruolo solo per finestre brevi e controllate. Conviene attivarlo per tutti i ruoli con privilegi elevati (amministrativi in Entra ID, ruoli su subscription/risorse Azure). Richiede una licenza Microsoft Entra ID P2.

Access reviews

Le access reviews verificano periodicamente che le assegnazioni siano ancora appropriate. Con il tempo gli utenti accumulano accessi che non servono più (access creep): cambi di ruolo, progetti conclusi, guest esterni dimenticati.

Una access review permette di:

  • Rivedere l’appartenenza a gruppi, l’accesso ad applicazioni e le assegnazioni di ruolo (anche i ruoli PIM).
  • Far decidere ai revisori — il manager, l’utente stesso (self-review) o un delegato — chi mantiene o perde l’accesso.
  • Applicare automaticamente l’esito (rimozione degli accessi non confermati) e ripetere la review su base ricorrente.

Sono particolarmente utili per gli utenti guest B2B e per soddisfare requisiti di compliance che impongono ricertificazioni periodiche.

Entitlement management e Terms of Use

L’entitlement management automatizza l’intero ciclo di vita degli accessi tramite gli access package: raccolte di risorse (gruppi, app, siti SharePoint) che un utente può richiedere. Il pacchetto definisce chi può richiederlo, l’eventuale approvazione, la scadenza e le review associate. È lo strumento ideale per l’onboarding e per dare a utenti interni o esterni un set coerente di risorse senza assegnazioni manuali.

I Terms of Use consentono di presentare all’utente un documento (informativa, policy aziendale) che deve essere accettato esplicitamente prima di accedere. Combinati con le Conditional Access policy, garantiscono un consenso registrato e verificabile.

Trappole tipiche d’esame

  • Scenario: vuoi che gli amministratori NON abbiano privilegi permanenti, ma li attivino solo quando servono, per un tempo limitato. → Privileged Identity Management (PIM) con assegnazioni eligible (accesso just-in-time).
  • Scenario: devi verificare periodicamente che gli utenti guest abbiano ancora bisogno dell’accesso a un gruppo o a un’app, rimuovendo chi non serve più. → Access reviews.
  • Scenario: un nuovo collaboratore esterno deve poter richiedere in autonomia un set di app e gruppi, con approvazione e scadenza automatica. → Entitlement management (access package).
  • Scenario: prima di accedere alle risorse, l’utente deve accettare esplicitamente un’informativa aziendale. → Terms of Use (abbinati a Conditional Access).
  • Scenario: l’obiettivo dichiarato è ridurre lo standing access ai ruoli privilegiati. → PIM (passaggio da active/permanente a eligible/a tempo), non le sole access reviews.