Microsoft Entra ID è il servizio di Identity and Access Management (IAM) cloud di Microsoft. Se hai mai loggato su Microsoft 365, Azure Portal, Teams o Xbox, hai già usato Entra ID — anche senza saperlo. È lo stesso servizio che, fino al 2023, si chiamava Azure Active Directory (Azure AD).
In questa guida ti spiego cos’è, come funziona, che differenza c’è con Active Directory on-premises e cosa devi assolutamente sapere se stai preparando la certificazione AZ-900.
Il rebrand: da Azure AD a Microsoft Entra ID
A luglio 2023 Microsoft ha rinominato Azure Active Directory in Microsoft Entra ID come parte del lancio della family Microsoft Entra — un’unica famiglia di prodotti identity e network access che include Entra ID (l’ex Azure AD), Entra Verified ID (identità decentralizzate), Entra Permissions Management (CIEM multi-cloud), Entra Internet Access e Entra Private Access.
Cosa cambia: solo il nome. Le API, i tenant esistenti, le licenze, i prezzi, i workflow: tutto invariato. Se hai una subscription Azure attiva o Microsoft 365, il tuo Azure AD è già diventato Entra ID automaticamente, senza migrazione.
Cosa NON cambia: login.microsoftonline.com, gli endpoint API graph.microsoft.com e login.microsoftonline.com/{tenant-id}/, le SDK per developer, il PowerShell module (che tuttavia è stato rinominato in Microsoft.Entra sostituendo il vecchio AzureAD).
Per l’esame AZ-900 conta che tu riconosca entrambi i nomi. Le domande più recenti usano “Microsoft Entra ID”; quelle del pool legacy possono ancora dire “Azure AD” — considera sinonimi.
Cos’è realmente
Entra ID è un directory service basato su cloud che risponde a due domande fondamentali:
- Chi sei? (autenticazione)
- Cosa puoi fare? (autorizzazione)
Ospita un elenco di utenti, gruppi, device e applicazioni registrate, con relative credenziali e permessi. Ogni volta che un utente prova ad accedere a una risorsa collegata a Entra ID (una VM Azure, una casella Exchange, un canale Teams, un’app SaaS di terze parti), il flusso è:
- L’app o servizio rimanda l’utente a
login.microsoftonline.com/{tenant}per l’autenticazione. - Entra ID chiede password + eventualmente secondo fattore (MFA), applica policy (Conditional Access se P1) e valuta il rischio (Identity Protection se P2).
- Se tutto ok, Entra ID emette un token JWT firmato (ID token + access token).
- L’app riceve il token, ne verifica la firma contro le chiavi pubbliche di Microsoft, estrae i claim (chi è l’utente, a quali gruppi appartiene, quali scopes ha) e decide se autorizzare la richiesta.
Il tutto usando protocolli standard OAuth 2.0 (autorizzazione) e OpenID Connect (autenticazione), più SAML 2.0 per app enterprise legacy.
Tenant, utenti e identità
Un tenant Entra ID è un’istanza isolata del servizio riservata alla tua organizzazione. È identificato da:
- Un Tenant ID GUID (es.
e750a109-3a52-4e50-be92-db575386c9cc) - Uno o più domini — sempre
{nome}.onmicrosoft.comdi default + eventualmente domini custom verificati (es.contoso.com)
Quando registri una nuova subscription Azure o compri Microsoft 365, Microsoft crea automaticamente il tuo tenant.
Dentro il tenant vivono diversi tipi di identità — umane, applicative e device — ciascuna con uno scopo preciso:
| Tipo di identità | Descrizione | Quando usarla |
|---|---|---|
| User | Persona reale con login email/password + MFA | Dipendenti, collaboratori interni con account nel tuo tenant |
| Guest user | Persona di tenant esterno invitata via B2B collaboration, mantiene le credenziali del tenant home | Consulenti, fornitori, partner che devono accedere a risorse condivise |
| Group | Collezione di user o altri gruppi per assegnare permessi in blocco | Gestire RBAC su decine di utenti senza assegnare ruoli uno a uno |
| Service principal | Identità applicativa per app registrate che accedono a risorse Azure a nome di un utente | App custom o script che chiamano Microsoft Graph o API Azure |
| Managed identity | Service principal automanaged da Azure legato a una risorsa (VM, App Service, Function), senza secret da gestire | Opzione più sicura per app che devono chiamare API Azure senza credenziali hardcoded |
| Device | PC o mobile registrato via Entra Join, Hybrid Join o Registered | Applicare Conditional Access basato su compliance device (via Intune) |
Le funzionalità chiave da conoscere per AZ-900
Le feature Entra ID sono suddivise per tier di licenza (Free, P1, P2). Questa tabella è la vista sintetica utile in vista dell’esame — sotto trovi il dettaglio dove serve.
| Feature | Tier minimo | Cosa fa | Perché in AZ-900 |
|---|---|---|---|
| Multi-Factor Authentication (MFA) | Free | Secondo fattore oltre password: Microsoft Authenticator, SMS, chiamata vocale, security key FIDO2, Windows Hello for Business | Da riconoscere come baseline gratuita; richiesta da Microsoft per gli accessi amministrativi al portale Azure con il rollout avviato nel 2024 |
| Single Sign-On (SSO) | Free (illimitato sulle app SaaS) | Login unico a tutte le app registrate; Entra App Gallery con migliaia di SaaS pre-integrate (Salesforce, Slack, GitHub, Zoom) | Esempio classico di beneficio identity cloud vs AD on-prem |
| Self-Service Password Reset (SSPR) | Free (solo cloud user), P1 (hybrid con write-back a AD on-prem) | L’utente resetta la password da solo dopo verifica secondaria (SMS, security questions, MFA) | Riduce ticket IT; comparirà come feature di produttività identity |
| Conditional Access | P1 | Motore di policy che combina segnali (user, group, ruolo, app, location IP, device state, risk level) per bloccare, richiedere MFA o limitare l’accesso | Feature bandiera del tier P1; capire che NON è disponibile in Free |
| Identity Protection | P2 | Rileva accessi rischiosi (IP anomalo, credenziali leaked, viaggio impossibile) e assegna risk score a utente e sessione | Alimenta Conditional Access con segnali di rischio; solo P2 |
| Privileged Identity Management (PIM) | P2 | Just-in-time elevation dei ruoli admin: attivazione temporanea (max N ore) con approval workflow opzionale, invece di ruoli permanenti | Concetto chiave per ridurre la superficie di attacco su account privilegiati |
Regola mnemonica per l’esame: Free copre le basi identity (MFA, SSO senza tetto di app, SSPR cloud). P1 sblocca Conditional Access (il motore di policy). P2 aggiunge Identity Protection (segnali di rischio) e PIM (just-in-time admin).
Entra ID vs Active Directory on-premises
Molti confondono i due — anche perché condividono parte del nome. Sono servizi complementari, non alternativi:
| Aspetto | Active Directory (on-prem) | Microsoft Entra ID (cloud) |
|---|---|---|
| Deployment | Server Windows nel datacenter | Cloud-native, gestito da Microsoft |
| Protocolli | LDAP, Kerberos, NTLM | OAuth 2.0, OpenID Connect, SAML |
| Domain join | Sì (PC entrano nel dominio) | No (device registrati via Entra Join) |
| Group Policy | GPO applicati a computer/user | No GPO — usa Intune per config device |
| Federation | AD Federation Services (ADFS) | Entra ID è federato di default |
| Costo | Licenze Windows Server + hardware | Free tier con qualsiasi Azure/M365 |
| Fault tolerance | Multi-DC da configurare | SLA 99,99% gestito da Microsoft sui tier a pagamento |
In pratica le aziende medio-grandi hanno entrambi: AD on-prem gestisce accessi legacy (file server, stampanti, app LOB vecchie), Entra ID gestisce il cloud (Microsoft 365, Azure, SaaS). Microsoft Entra Connect (ex Azure AD Connect) sincronizza utenti/gruppi/password hash da AD on-prem verso Entra ID: l’utente si autentica UNA volta e accede sia on-prem sia cloud.
A chi serve studiare Entra ID (e su quale certificazione)
Entra ID è la spina dorsale di tutto l’ecosistema Microsoft cloud, ma il livello di profondità con cui devi conoscerlo dipende dal tuo ruolo target. Le certificazioni dove Entra ID compare — da poche domande fondamentali fino a essere il tema portante dell’intero esame — coprono profili diversi: chi si affaccia al cloud, chi amministra identity in modo full-time, chi progetta l’architettura di sicurezza. Ecco come inquadrare il tuo percorso:
Percorsi consigliati per chi vuole padroneggiare Entra ID
Capire chi gestisce le identità in Microsoft 365
Vedi Entra ID ogni giorno quando resetti password o gestisci MFA: SC-900 formalizza le basi security/identity con zero prerequisiti tecnici.
Prova la simulazione SC-900 →Governance identità enterprise
Configuri Conditional Access, PIM, SSO su tenant reali: SC-300 è la cert Associate più richiesta per Identity and Access Administrator in Italia.
Vai a SC-300 →Applica identity alla sicurezza cloud
Passi da SC-300 ad AZ-500 per proteggere workload, reti e dati Azure con le tecnologie di sicurezza più richieste nei ruoli meglio retribuiti del cloud.
Scopri AZ-500 →Una precisazione importante sulle date d’esame. Il percorso Security Engineer suggerito nella card qui sopra passa storicamente per AZ-500, ma quella strada è chiusa: Microsoft ha ritirato la certificazione Azure Security Engineer Associate il 31 agosto 2026 e da quella data non la si può più né conseguire né rinnovare. Attenzione a non confondere due cose diverse: qui non è cambiato solo il codice dell’esame, è finita proprio la certificazione — chi l’ha già in tasca se la tiene sul transcript fino alla scadenza, ma con i renewal assessment ritirati non ha più modo di prolungarla. Per lo stesso ruolo, Security Engineer su Azure, la Associate attiva oggi è Cloud and AI Security Engineer, esame SC-500: copre il perimetro classico di AZ-500 (identità e accessi, rete, storage e database, compute, postura di sicurezza) e ci aggiunge la protezione dei workload AI, con un vincolo da mettere in conto perché al momento è erogato solo in inglese, mentre AZ-500 era disponibile anche in italiano. Se invece ti interessa l’identity puro, la strada resta SC-300 per il livello Associate e SC-100 (Microsoft Cybersecurity Architect) per il livello Expert, entrambi pienamente attivi. Stesso discorso per MS-900 (Microsoft 365 Fundamentals), che compare spesso come cert gemella di AZ-900: è stata ritirata il 31 marzo 2026 e non è più prenotabile, quindi come Fundamentals affiancabile ad AZ-900 oggi ha senso SC-900. Il calendario aggiornato di tutte le dismissioni è nella pagina ritiri e aggiornamenti degli esami Microsoft.
Se hai già capito il funzionamento di Entra ID per l’AZ-900, parti con una base solida anche per SC-900 e SC-300: gran parte dei concetti identity si ripete, cambia la profondità richiesta.
Prossimi passi
Entra ID è il tema portante di un’intera famiglia di certificazioni Microsoft: dalle Fundamentals SC-900 all’Associate SC-300, fino al livello Expert con SC-100 (Microsoft Cybersecurity Architect). Al posto di AZ-500, ritirata il 31 agosto 2026, la Associate di sicurezza attiva è SC-500 (Cloud and AI Security Engineer). Tutte rilasciano un badge Credly collegabile al profilo LinkedIn con un click da Microsoft Learn, ma occhio alla durata: SC-900, come tutte le Fundamentals, non scade, mentre le Associate e le Expert — SC-300, SC-500, SC-100 — vanno rinnovate ogni anno con un assessment online gratuito, non proctored e a libro aperto. Ecco i percorsi più naturali dopo aver assimilato le basi di Entra ID:
Come leggere le card qui sotto. La card del cluster Expert mostra ancora AZ-500: quella certificazione è ritirata dal 31 agosto 2026 e la sua scheda resta online solo come riferimento storico, quindi su CertUp non troverai una simulazione AZ-500 e non ha più senso pianificare quell’esame. Se il tuo obiettivo è la sicurezza su Azure, l’esame da preparare oggi è SC-500 e la simulazione SC-500 è attiva; sul versante identity restano la simulazione SC-300 e poi la simulazione SC-100. Allo stesso modo, fra le certificazioni correlate compare MS-900, ritirata il 31 marzo 2026: non è più prenotabile e la sua scheda resta online solo come riferimento storico.
Se stai ancora preparando le Fundamentals, leggi la guida completa AZ-900 2026 o prova la simulazione AZ-900 gratuita per vedere come Entra ID compare nel dominio Identity. Riferimento ufficiale: Microsoft Entra ID documentation.