L’identità è diventata il perimetro di sicurezza dei sistemi moderni. Quando l’infrastruttura si sposta nel cloud e le persone lavorano da dispositivi e reti che l’azienda non controlla, l’unica cosa che continua a fare da confine è la risposta a tre domande: chi sei, da dove ti stai connettendo, e a cosa hai diritto di accedere. La certificazione Microsoft Certified: Identity and Access Administrator Associate, che si ottiene superando l’esame SC-300, certifica proprio la capacità di progettare e gestire questo perimetro con Microsoft Entra ID.
È una certificazione di livello associate e, a differenza di molte altre della famiglia security, è profondamente operativa. Non ti viene chiesto di discutere strategie di sicurezza in astratto: ti viene chiesto di sapere dove si configura un criterio di accesso condizionale, cosa succede quando due criteri si sovrappongono, come si gestisce il ciclo di vita di un’identità esterna, come si integra un’applicazione SaaS con SSO. Chi lavora quotidianamente su un tenant Entra riconosce immediatamente gli scenari; chi non l’ha mai toccato fatica, anche se ha letto tutto.
Il valore pratico è alto perché l’identity administration è un ruolo che quasi tutte le organizzazioni che usano Microsoft 365 o Azure devono coprire, spesso senza avere qualcuno con competenze formalizzate. SC-300 è il modo più diretto per dimostrare che quelle competenze ci sono, e si combina bene con le altre certificazioni security Microsoft in un percorso coerente. Trovi tutti i dettagli nella scheda certificazione.
A chi serve
Il profilo più naturale è l’Identity and Access Administrator vero e proprio: chi gestisce il tenant Entra ID, crea e dismette utenti, configura MFA, mantiene i criteri di accesso condizionale, gestisce le app registrate. Se è già il tuo lavoro, SC-300 è essenzialmente la fotografia certificata di quello che fai.
Ma il bacino è più ampio:
- Amministratori Microsoft 365 che hanno ereditato la gestione identità insieme a Exchange e Teams, e vogliono strutturare conoscenze finora acquisite per necessità.
- Sysadmin in transizione da Active Directory on-premises, che devono capire come si traducono concetti familiari (GPO, gruppi, delega) in un mondo cloud dove funzionano diversamente.
- Security analyst e SOC operator che indagano incidenti legati a compromissioni di account: capire come funzionano Identity Protection e i segnali di rischio cambia radicalmente la qualità dell’analisi.
- Consulenti e system integrator che progettano tenant per i clienti, dove la parte identità è spesso quella che determina il successo o il fallimento del progetto.
- Cloud engineer e DevOps che devono gestire identità gestite, service principal e accesso applicativo alle risorse Azure senza spargere segreti nel codice.
Prerequisiti ed esperienza consigliata
Non ci sono prerequisiti formali: puoi iscriverti a SC-300 senza aver superato altri esami. Ma esistono prerequisiti sostanziali, e ignorarli è il modo più comune per bruciare l’iscrizione.
Serve familiarità concreta con Microsoft Entra ID. Non “ho visto qualche screenshot”, ma aver navigato il portale, aver creato utenti e gruppi, aver almeno guardato la sezione dei criteri di accesso condizionale. Se vieni da zero, mettere in conto qualche settimana di pratica prima ancora di iniziare lo studio mirato è realistico.
Serve una comprensione dei concetti di autenticazione e autorizzazione moderni: cosa distingue autenticazione da autorizzazione, cosa sono OAuth 2.0 e OpenID Connect a livello concettuale, cosa contiene un token, cos’è un consenso applicativo. Non ti serve saper implementare un flusso OAuth, ti serve capire cosa succede quando un utente clicca “Accedi con Microsoft”.
Aiuta molto avere background su Active Directory on-premises, soprattutto per le parti su identità ibrida e sincronizzazione. Chi non l’ha mai visto deve studiare quei moduli con più attenzione.
Se parti completamente da zero sul mondo Microsoft security, SC-900 (Security, Compliance and Identity Fundamentals) è un passo intermedio sensato, anche se non obbligatorio.
Cosa copre l’esame
L’esame è organizzato in alcune aree principali, che trovi elencate nella pagina ufficiale dell’esame su Microsoft Learn. Ecco di cosa si occupa ciascuna.
| Area | Di cosa si occupa |
|---|---|
| Implementazione della soluzione di identità | Configurazione e gestione del tenant Entra ID, creazione e ciclo di vita di utenti e gruppi, identità esterne e collaborazione B2B, identità ibrida e sincronizzazione con Active Directory on-premises, domini personalizzati, ruoli amministrativi. |
| Autenticazione e accesso | Metodi di autenticazione e MFA, criteri sui metodi disponibili, self-service password reset, passwordless (Windows Hello for Business, chiavi FIDO2, Microsoft Authenticator), Conditional Access con condizioni e controlli, Identity Protection con rilevamento e risposta ai rischi utente e di accesso. |
| Gestione dell’accesso alle applicazioni | Registrazione di applicazioni in Entra ID, enterprise application e integrazione SSO (SAML, OIDC), gestione dei consensi utente e amministratore, provisioning di app, service principal e identità gestite, App Protection e accesso condizionale applicato alle app. |
| Identity governance | Entitlement management con access package, catalogh e policy di accesso, access review periodiche, Privileged Identity Management per l’attivazione just-in-time dei ruoli privilegiati, gestione del ciclo di vita degli accessi, monitoraggio e reportistica sulle identità. |
Il filo conduttore, in tutte le aree, è lo scenario: la domanda tipica non è “cos’è il Conditional Access” ma “data questa configurazione e questo utente, l’accesso viene consentito, bloccato o richiede MFA?”.
Formato e costo
Il passing score è 700 su 1000. Non è una percentuale di risposte corrette: il punteggio è scalato, quindi non ha senso calcolare “quante ne devo azzeccare”.
L’esame è un role-based associate, quindi il costo di listino Microsoft è di circa 165 USD (in Italia intorno a 165 EUR + IVA). La certificazione ottenuta ha validità di 12 mesi e si rinnova gratuitamente con un assessment online sulla propria pagina di Microsoft Learn, disponibile nei mesi precedenti la scadenza: è breve, si fa da casa, senza proctoring e senza costi.
Sul formato, aspettati in genere poche decine di domande in circa 1-2 ore, con una miscela di scelta multipla, casi di studio, sequenze da ordinare e domande a risposta multipla. Poiché numero di domande, durata, elenco dei domini e relativi pesi cambiano nel tempo, verifica sempre i dati aggiornati sulla pagina ufficiale dell’esame SC-300 su Microsoft Learn prima di prenotare.
Come prepararsi
Un piano realistico per chi ha già esperienza operativa su Entra ID è di 5-6 settimane con 6-8 ore a settimana. Chi parte con esperienza limitata dovrebbe considerare 8-10 settimane.
Settimana 1 — Fondamenta e tenant. Ripassa i concetti di identità cloud, esplora il tenant (usa una trial Microsoft 365 E5 se non ne hai uno di lavoro), lavora su utenti, gruppi, gruppi dinamici, ruoli amministrativi e unità amministrative. Obiettivo: muoverti nel portale senza cercare le voci di menu.
Settimana 2 — Identità ibrida ed esterne. Sincronizzazione con Active Directory, opzioni di autenticazione ibrida (hash sincronizzato, pass-through, federazione) e quando si sceglie cosa. Poi B2B, inviti, criteri di collaborazione esterna.
Settimana 3 — Autenticazione. Metodi di autenticazione e loro forza relativa, MFA, SSPR, passwordless. Configura davvero i criteri sui metodi: capire la differenza tra “disponibile” e “richiesto” è esattamente il tipo di sfumatura che l’esame verifica.
Settimana 4 — Conditional Access e Identity Protection. È il cuore dell’esame. Crea criteri in modalità solo report, usa lo strumento What If, prova sovrapposizioni di criteri e osserva l’esito. Studia i tipi di rischio, i criteri basati sul rischio e la remediation.
Settimana 5 — Applicazioni e governance. Registrazioni app, enterprise application, SSO, consensi e admin consent workflow, identità gestite. Poi entitlement management, access review e PIM: attiva un ruolo con PIM almeno una volta, la sequenza si ricorda meglio facendola.
Settimana 6 — Consolidamento. Simulazioni ripetute, analisi degli errori, ripasso mirato solo sulle aree deboli. Il percorso di studio su CertUp segue questa progressione e puoi usarlo come traccia.
Errori comuni
Studiare solo teoria senza toccare il portale. SC-300 punisce lo studio puramente teorico più di quasi ogni altro esame associate. Le domande descrivono configurazioni concrete e chiedono l’esito. Senza aver mai visto quelle schermate, si tira a indovinare.
Sottovalutare il Conditional Access. È l’area dove si perdono più punti. Molti imparano a creare un criterio ma non a ragionare su più criteri che si applicano insieme, sulle esclusioni, sulle condizioni di localizzazione e sul comportamento con gli account di emergenza (break-glass). Vanno provate le combinazioni.
Confondere strumenti simili. Access review, entitlement management e PIM risolvono problemi diversi: rispettivamente ricertificare accessi esistenti, richiedere pacchetti di accesso, elevare ruoli privilegiati just-in-time. Le domande sfruttano esattamente questa confusione.
Ignorare la parte applicativa. Chi viene dall’amministrazione sistemistica tende a saltare registrazioni app, service principal e consensi perché “è roba da sviluppatori”. Non lo è: è materia d’esame e materia di lavoro quotidiano.
Prepararsi su materiale datato. Entra ID cambia nomi e interfacce con frequenza. Guide vecchie parlano di Azure AD con terminologia e percorsi non più validi. Verifica sempre sulla documentazione ufficiale corrente.
Il modo più rapido per capire se sei pronto è misurarti su domande scritte nello stesso stile dell’esame. Su CertUp trovi la simulazione gratuita SC-300 con 100 domande nel banco, con spiegazione delle risposte e report finale per capire su quali aree conviene tornare a lavorare. Fai un primo tentativo prima di iniziare a studiare: ti dice esattamente da dove partire.