Quando parliamo di identità nel cloud Microsoft, il punto di partenza è Microsoft Entra ID (il servizio precedentemente noto come Azure AD). È il cloud identity provider su cui poggiano l’accesso a Microsoft 365, ad Azure e a migliaia di applicazioni SaaS di terze parti. Capire cosa sia — e cosa non sia — è uno dei concetti più ricorrenti dell’esame SC-900.

Microsoft Entra ID non è “AD nel cloud”

L’errore più comune è pensare a Entra ID come a una copia in cloud di Active Directory Domain Services (AD DS). Non lo è: sono due prodotti diversi, per scopi diversi.

  • AD DS è pensato per reti aziendali on-premises. Usa protocolli come Kerberos e LDAP, è organizzato in domini, foreste e Organizational Unit (OU), applica Group Policy (GPO) e gestisce dispositivi Windows tramite domain join.
  • Microsoft Entra ID è un servizio di identità cloud multi-tenant, pensato per il web. Usa protocolli internet moderni come OAuth 2.0, OpenID Connect e SAML. Non conosce OU né GPO, non fa domain join tradizionale, ma gestisce Single Sign-On (SSO) verso app cloud, Conditional Access e Multi-Factor Authentication (MFA).

In sintesi: AD DS gestisce risorse dentro il perimetro aziendale; Entra ID gestisce l’accesso alle risorse cloud. Non sono intercambiabili.

I tipi di identità

Entra ID gestisce diversi tipi di identità (chi o cosa chiede accesso), spesso chiamate security principal:

  • Utenti (user): persone. Possono essere membri interni dell’organizzazione oppure utenti esterni invitati.
  • Service principal: l’identità con cui un’applicazione o un servizio accede alle risorse. È come un “account utente” per il software.
  • Managed identity: un tipo speciale di service principal gestito automaticamente da Azure. Elimina la necessità di conservare credenziali nel codice: la rotazione delle password è automatica. Ne esistono due varianti — system-assigned (legata al ciclo di vita di una singola risorsa) e user-assigned (indipendente e riutilizzabile su più risorse).
  • Dispositivi (device): computer, telefoni, tablet registrati in Entra ID. Consentono policy di Conditional Access basate sullo stato del dispositivo.

Identità esterne: B2B e B2C

Entra ID copre anche le identità di persone fuori dall’organizzazione con le External Identities:

  • B2B (business-to-business): collaborazione con partner, fornitori, consulenti. Si invitano utenti esterni (guest) che accedono con la propria identità alle tue risorse. Nessun nuovo account da gestire.
  • B2C (business-to-consumer): gestione dell’identità dei clienti di un’applicazione consumer. Permette login con social account (Google, Facebook) o registrazione. È una soluzione di Customer Identity and Access Management (CIAM).

Identità ibrida e Microsoft Entra Connect

Molte aziende hanno già un AD DS on-premises ma vogliono usare i servizi cloud. La soluzione è l’identità ibrida: la stessa identità funziona sia on-premises sia nel cloud, con un’unica password.

Il ponte che rende possibile tutto questo è Microsoft Entra Connect (in versione più recente Entra Connect Sync/Cloud Sync): un componente installato on-premises che sincronizza utenti e gruppi da Active Directory verso Entra ID. L’utente usa così le stesse credenziali per accedere al PC di dominio e a Microsoft 365.

Quando serve un’identità ibrida? Quando esiste già un investimento in AD DS e si vuole estendere l’accesso al cloud senza gestire due set di credenziali separati — tipico scenario di migrazione o coesistenza.

Trappole tipiche d’esame

  • Scenario: un’app in Azure deve accedere a un database senza credenziali salvate nel codice. → Usa una managed identity, non un service principal con secret gestito manualmente.
  • Scenario: devi far collaborare consulenti esterni con la loro email aziendale sulle tue risorse. → Entra External Identities B2B (guest), non creare account interni.
  • Scenario: un’app mobile per clienti deve permettere registrazione e login con account social. → B2C / CIAM, non B2B.
  • Scenario: gli utenti devono usare la stessa password on-premises e su Microsoft 365. → Identità ibrida sincronizzata con Microsoft Entra Connect.
  • Trabocchetto concettuale: “Entra ID supporta Group Policy e OU?” → No. Group Policy, OU e Kerberos sono di AD DS on-premises; Entra ID usa OAuth/OpenID Connect/SAML.