L’identità è diventata il perimetro di sicurezza dei sistemi moderni. Quando l’infrastruttura si sposta nel cloud e le persone lavorano da dispositivi e reti che l’azienda non controlla, l’unica cosa che continua a fare da confine è la risposta a tre domande: chi sei, da dove ti stai connettendo, e a cosa hai diritto di accedere. La certificazione Microsoft Certified: Identity and Access Administrator Associate, che si ottiene superando l’esame SC-300, certifica proprio la capacità di progettare e gestire questo perimetro con Microsoft Entra ID.
È una certificazione di livello associate e, a differenza di molte altre della famiglia security, è profondamente operativa. Non ti viene chiesto di discutere strategie di sicurezza in astratto: ti viene chiesto di sapere dove si configura un criterio di accesso condizionale, cosa succede quando due criteri si sovrappongono, come si gestisce il ciclo di vita di un’identità esterna, come si integra un’applicazione SaaS con SSO. Chi lavora quotidianamente su un tenant Entra riconosce immediatamente gli scenari; chi non l’ha mai toccato fatica, anche se ha letto tutto.
Il valore pratico è alto perché l’identity administration è un ruolo che quasi tutte le organizzazioni che usano Microsoft 365 o Azure devono coprire, spesso senza avere qualcuno con competenze formalizzate. SC-300 è il modo più diretto per dimostrare che quelle competenze ci sono, e si combina bene con le altre certificazioni security Microsoft in un percorso coerente. Trovi tutti i dettagli nella scheda certificazione.
A chi serve
Il profilo più naturale è l’Identity and Access Administrator vero e proprio: chi gestisce il tenant Entra ID, crea e dismette utenti, configura MFA, mantiene i criteri di accesso condizionale, gestisce le app registrate. Se è già il tuo lavoro, SC-300 è essenzialmente la fotografia certificata di quello che fai.
Ma il bacino è più ampio:
- Amministratori Microsoft 365 che hanno ereditato la gestione identità insieme a Exchange e Teams, e vogliono strutturare conoscenze finora acquisite per necessità.
- Sysadmin in transizione da Active Directory on-premises, che devono capire come si traducono concetti familiari (GPO, gruppi, delega) in un mondo cloud dove funzionano diversamente.
- Security analyst e SOC operator che indagano incidenti legati a compromissioni di account: capire come funzionano Identity Protection e i segnali di rischio cambia radicalmente la qualità dell’analisi.
- Consulenti e system integrator che progettano tenant per i clienti, dove la parte identità è spesso quella che determina il successo o il fallimento del progetto.
- Cloud engineer e DevOps che devono gestire identità gestite, service principal e accesso applicativo alle risorse Azure senza spargere segreti nel codice.
Prerequisiti ed esperienza consigliata
Non ci sono prerequisiti formali: puoi iscriverti a SC-300 senza aver superato altri esami. Ma esistono prerequisiti sostanziali, e ignorarli è il modo più comune per bruciare l’iscrizione.
Serve familiarità concreta con Microsoft Entra ID. Non “ho visto qualche screenshot”, ma aver navigato il portale, aver creato utenti e gruppi, aver almeno guardato la sezione dei criteri di accesso condizionale. Se vieni da zero, mettere in conto qualche settimana di pratica prima ancora di iniziare lo studio mirato è realistico.
Serve una comprensione dei concetti di autenticazione e autorizzazione moderni: cosa distingue autenticazione da autorizzazione, cosa sono OAuth 2.0 e OpenID Connect a livello concettuale, cosa contiene un token, cos’è un consenso applicativo. Non ti serve saper implementare un flusso OAuth, ti serve capire cosa succede quando un utente clicca “Accedi con Microsoft”.
Aiuta molto avere background su Active Directory on-premises, soprattutto per le parti su identità ibrida e sincronizzazione. Chi non l’ha mai visto deve studiare quei moduli con più attenzione.
Se parti completamente da zero sul mondo Microsoft security, SC-900 (Security, Compliance and Identity Fundamentals) è un passo intermedio sensato, anche se non obbligatorio.
Cosa copre l’esame
L’esame è organizzato in quattro aree principali. L’elenco autorevole, con il peso di ciascuna area e il change log delle revisioni, sta nello study guide ufficiale SC-300 su Microsoft Learn: è il documento che Microsoft aggiorna quando i domini cambiano, e la versione corrente porta la dicitura «Skills measured as of April 27, 2026». È da lì che conviene partire, invece che da una guida di terze parti che non dichiara a quale revisione si riferisce. Ecco di cosa si occupa ciascuna area.
| Area | Di cosa si occupa |
|---|---|
| Implementazione e gestione delle identità utente | Configurazione del tenant Entra ID: ruoli predefiniti e personalizzati, unità amministrative, valutazione dei permessi effettivi, domini e branding aziendale. Creazione e ciclo di vita di utenti, gruppi e licenze, attributi di sicurezza personalizzati, join e registrazione dei dispositivi. Identità esterne con collaborazione B2B, impostazioni di accesso cross-tenant e sincronizzazione cross-tenant. Identità ibrida con Microsoft Entra Connect Sync e Cloud Sync, password hash sync, pass-through, SSO trasparente, Connect Health e migrazione da AD FS. |
| Implementazione di autenticazione e gestione degli accessi | Metodi di autenticazione e MFA, criteri sui metodi disponibili, self-service password reset, password protection, passwordless (Windows Hello for Business, passkey/FIDO2, Temporary Access Pass, Microsoft Authenticator, autenticazione basata su certificati). Conditional Access con assegnazioni, controlli, gestione della sessione, restrizioni imposte dal dispositivo, continuous access evaluation, authentication context e protected action. Microsoft Entra ID Protection per rischio utente, rischio di accesso e workload identity a rischio. E Global Secure Access: deploy dei client, Private Access e Internet Access, anche per Microsoft 365. |
| Pianificazione e implementazione delle workload identity | Scelta dell’identità giusta per applicazioni e carichi Azure — identità gestite, service principal, account utente e account di servizio gestiti — e uso di un’identità gestita per accedere ad altre risorse Azure. Integrazione delle enterprise application: SSO SAML e OIDC, Application Proxy per le app on-premises, consensi utente e amministratore, app role e raccolte di applicazioni. Registrazioni app con configurazione dell’autenticazione e dei permessi API. Controllo dell’accesso alle app con Microsoft Defender for Cloud Apps: cloud discovery, app connesse, Conditional Access app control, criteri di accesso e di sessione, criteri per le app OAuth. |
| Pianificazione e automazione dell’identity governance | Entitlement management con cataloghi, access package, gestione delle richieste di accesso, terms of use, ciclo di vita degli utenti esterni e organizzazioni connesse. Access review periodiche, dalla progettazione al monitoraggio degli esiti. Accesso privilegiato con Privileged Identity Management sui ruoli Entra, sulle risorse Azure e su PIM for Groups, con processo di richiesta e approvazione e account break-glass. Monitoraggio delle identità con log di accesso, audit e provisioning, diagnostic setting, query KQL in Log Analytics, workbook e Identity Secure Score. |
Il filo conduttore, in tutte le aree, è lo scenario: la domanda tipica non è “cos’è il Conditional Access” ma “data questa configurazione e questo utente, l’accesso viene consentito, bloccato o richiede MFA?”.
Formato e costo
Il passing score è 700 su 1000. Non è una percentuale di risposte corrette: il punteggio è scalato, quindi non ha senso calcolare “quante ne devo azzeccare”.
L’esame è un role-based associate. Microsoft non espone il prezzo sulla pagina della certificazione: dice soltanto che dipende dal paese o dalla regione in cui l’esame viene erogato. L’unico numero di cui fidarsi è quello che vedi in fase di prenotazione su Pearson VUE, dopo aver scelto il centro d’esame o la modalità online: le cifre riportate nelle guide di terze parti invecchiano senza che nessuno le corregga. La certificazione ottenuta ha validità di 12 mesi e si rinnova gratuitamente con un assessment online sulla propria pagina di Microsoft Learn, disponibile nei mesi precedenti la scadenza: è breve, si fa da casa, senza proctoring e senza costi.
Sul formato, la pagina ufficiale indica 100 minuti per completare la prova, in sessione proctored e con possibili componenti interattive: aspettati poche decine di domande, con una miscela di scelta multipla, casi di studio, sequenze da ordinare e domande a risposta multipla. Se non lo superi puoi ritentare dopo 24 ore; per i tentativi successivi l’attesa si allunga. Poiché numero di domande, durata, elenco dei domini e relativi pesi cambiano nel tempo, verifica sempre i dati aggiornati sulla pagina ufficiale dell’esame SC-300 su Microsoft Learn prima di prenotare.
Come prepararsi
Un piano realistico per chi ha già esperienza operativa su Entra ID è di 5-6 settimane con 6-8 ore a settimana. Chi parte con esperienza limitata dovrebbe considerare 8-10 settimane.
Settimana 1 — Fondamenta e tenant. Ripassa i concetti di identità cloud, esplora il tenant (usa una trial Microsoft 365 E5 se non ne hai uno di lavoro), lavora su utenti, gruppi, gruppi dinamici, ruoli amministrativi e unità amministrative. Obiettivo: muoverti nel portale senza cercare le voci di menu.
Settimana 2 — Identità ibrida ed esterne. Sincronizzazione con Active Directory, opzioni di autenticazione ibrida (hash sincronizzato, pass-through, federazione) e quando si sceglie cosa. Poi B2B, inviti, criteri di collaborazione esterna.
Settimana 3 — Autenticazione. Metodi di autenticazione e loro forza relativa, MFA, SSPR, passwordless. Configura davvero i criteri sui metodi: capire la differenza tra “disponibile” e “richiesto” è esattamente il tipo di sfumatura che l’esame verifica.
Settimana 4 — Conditional Access, ID Protection e Global Secure Access. È il cuore dell’esame. Crea criteri in modalità solo report, usa lo strumento What If, prova sovrapposizioni di criteri e osserva l’esito. Studia i tipi di rischio, i criteri basati sul rischio e la remediation in Microsoft Entra ID Protection. Chiudi la settimana su Global Secure Access — deploy dei client, Private Access e Internet Access: sta nella stessa area d’esame dell’accesso condizionale ed è materia d’esame a tutti gli effetti, ma è anche la parte che le guide più vecchie non coprono affatto.
Settimana 5 — Workload identity e governance. Registrazioni app, enterprise application, SSO, consensi e admin consent workflow, identità gestite e service principal, Application Proxy, più il controllo delle app con Defender for Cloud Apps. Poi entitlement management, access review e PIM: attiva un ruolo con PIM almeno una volta, la sequenza si ricorda meglio facendola.
Settimana 6 — Consolidamento. Simulazioni ripetute, analisi degli errori, ripasso mirato solo sulle aree deboli. Il percorso di studio su CertUp segue questa progressione e puoi usarlo come traccia.
Errori comuni
Studiare solo teoria senza toccare il portale. SC-300 punisce lo studio puramente teorico più di quasi ogni altro esame associate. Le domande descrivono configurazioni concrete e chiedono l’esito. Senza aver mai visto quelle schermate, si tira a indovinare.
Sottovalutare il Conditional Access. È l’area dove si perdono più punti. Molti imparano a creare un criterio ma non a ragionare su più criteri che si applicano insieme, sulle esclusioni, sulle condizioni di localizzazione e sul comportamento con gli account di emergenza (break-glass). Vanno provate le combinazioni.
Confondere strumenti simili. Access review, entitlement management e PIM risolvono problemi diversi: rispettivamente ricertificare accessi esistenti, richiedere pacchetti di accesso, elevare ruoli privilegiati just-in-time. Le domande sfruttano esattamente questa confusione.
Ignorare la parte applicativa. Chi viene dall’amministrazione sistemistica tende a saltare registrazioni app, service principal e consensi perché “è roba da sviluppatori”. Non lo è: dal blueprint di aprile 2026 è una delle quattro aree d’esame e si chiama proprio workload identity. Saltarla significa rinunciare a un quarto del punteggio.
Prepararsi su materiale datato. Entra ID cambia nomi e interfacce con frequenza. Guide vecchie parlano di Azure AD con terminologia e percorsi non più validi. Verifica sempre sulla documentazione ufficiale corrente.
Il modo più rapido per capire se sei pronto è misurarti su domande scritte nello stesso stile dell’esame. Su CertUp trovi la simulazione gratuita SC-300 con 100 domande nel banco, con spiegazione delle risposte e report finale per capire su quali aree conviene tornare a lavorare. Fai un primo tentativo prima di iniziare a studiare: ti dice esattamente da dove partire.