Microsoft 365 / Come Assegnare i Ruoli di Amministratore e Preparare Account di Accesso di Emergenza

Assegna le autorizzazioni di amministratore di Microsoft 365 in base ai compiti di ciascuna persona invece di concedere a ogni amministratore il ruolo di Amministratore Globale. Prepara e valida regolarmente account di accesso di emergenza indipendenti in modo che l'organizzazione possa recuperare l'accesso amministrativo se i normali account amministrativi non possono essere utilizzati.

Perché separare i ruoli di amministratore?

I ruoli di amministratore determinano l'ambito delle impostazioni che possono essere visualizzate e delle operazioni che possono essere modificate. Ruoli come Amministratore delle Licenze, Amministratore degli Utenti, Amministratore di Exchange e Amministratore di SharePoint sono progettati per responsabilità diverse. Concedere permessi eccessivamente ampi a un singolo account aumenta l'impatto potenziale di una compromissione dell’account o di errori.

La guida ai ruoli di amministratore di Microsoft 365 raccomanda privilegi minimi e un numero limitato di amministratori. Prima di assegnare un ruolo, elenca le attività concrete che la persona deve svolgere e scegli il ruolo con meno autorizzazioni che consenta di completarle. Non dedurre i permessi soltanto dal nome del ruolo: consulta le autorizzazioni dettagliate.

Scelta dei ruoli per attività comuni

Ad esempio, se il reparto HR fornisce un elenco di nuovi dipendenti e il reparto IT crea i loro account, HR può inviare una richiesta di approvazione senza ricevere i permessi di gestione utenti. Separare le attività in "attività necessarie per l'azienda" e "attività che questa persona deve svolgere direttamente". L'assegnazione dei ruoli dovrebbe essere effettuata da un amministratore separato che dispone dei permessi appropriati.

Assegnazione e rimozione dei ruoli di amministratore

1. Nel centro di amministrazione di Microsoft 365, apri Ruoli → Assegnazioni di ruolo. Il tuo account attuale deve avere il permesso di gestire i ruoli.

2. Seleziona un ruolo adatto alle tue attività e leggi la descrizione dei permessi. Se necessario, controlla ruoli più dettagliati nel centro di amministrazione Microsoft Entra.
3. Nella scheda Assegnato, seleziona Aggiungi utenti, scegli l'account appropriato e seleziona Aggiungi. Registra il motivo dell'assegnazione, l'approvatore, l'ambito e il programma di revisione.
4. Verifica se il lavoro necessario può essere eseguito con l'account e rimuovi eventuali autorizzazioni non necessarie. Poiché potrebbe richiedere del tempo per l'applicazione delle autorizzazioni, avvia una nuova sessione di accesso per verificare.

Puoi anche modificare i ruoli nella schermata dei dettagli utente su Gestisci ruoli. La procedura di assegnazione dei ruoli di Microsoft spiega entrambi i percorsi.

Dopo il salvataggio, la persona assegnata verifica i menu e le attività necessarie in una nuova sessione di accesso. Se si tratta di lavoro in sola lettura, basta verificare la visualizzazione; quando si controllano i permessi di modifica, determinare l'obiettivo di test approvato e i valori da ripristinare. In caso di errori, controllare prima l'ambito dell'organizzazione e dei ruoli e lo stato di assegnazione, e non elevare immediatamente ad amministratore globale.

Quando il lavoro è completato o cambia la persona responsabile, rimuovere la persona da Ruoli → Assegnazioni di ruolo → il ruolo pertinente → Assegnato e ricontrollare. Se più ruoli sono detenuti contemporaneamente, anche se uno viene rimosso, lo stesso lavoro potrebbe comunque essere possibile tramite un altro percorso. Se l'organizzazione utilizza PIM (Privileged Identity Management, una funzione di gestione per attivare i permessi quando necessario), distinguere e confermare i ruoli attivi e i ruoli idonei.

Cos'è un account di amministratore di emergenza?

Gli account di emergenza sono account utilizzati per riottenere l'accesso alla tua organizzazione quando i tuoi account amministrativi abituali, i metodi di autenticazione o i sistemi di ID esterni incontrano problemi. Sono diversi dal creare semplicemente un account aggiuntivo per le attività quotidiane. Microsoft raccomanda in linee guida sugli account di accesso di emergenza di preparare due o più account esclusivamente cloud, progettare percorsi di autenticazione diversi dagli account operativi abituali, monitorarne l'uso e testarli periodicamente.

Gli account di emergenza dovrebbero essere creati come account esclusivamente cloud nel dominio onmicrosoft.com dell’organizzazione e progettati in modo che non dipendano dalla sincronizzazione della directory locale o dai server di autenticazione esterni. Le linee guida Microsoft aggiornate a giugno 2026 consigliano che gli account di emergenza utilizzino metodi di autenticazione resistenti al phishing diversi da quelli degli amministratori ordinari e siano esclusi dalle policy di Accesso Condizionale che bloccano o limitano il login. Le criteri in modalità solo report non impediscono il login, quindi non è necessario escludere gli account di emergenza solo per questo motivo.

Questa eccezione non significa che debbano essere configurati per accedere solo con una password. Usa passkey FIDO2 o chiavi di sicurezza per soddisfare i requisiti obbligatori di autenticazione a più fattori (MFA). L'autenticazione basata su certificati è un'altra opzione se l'organizzazione dispone già di un’infrastruttura a chiave pubblica (Public Key Infrastructure, PKI). Se gli account regolari si basano sull'autenticazione tramite telefono, non configurare gli account di emergenza per fare affidamento sullo stesso telefono. Se si utilizza PIM, è consigliabile che i ruoli di amministratore globale degli account di emergenza siano in uno stato permanentemente attivo piuttosto che un'assegnazione idonea che richiede l'approvazione per l'attivazione.

Preparazione e convalida degli account di accesso di emergenza

1. Esamina gli amministratori globali attuali e sulle dipendenze di autenticazione. Assicurati che non si affidino esclusivamente agli ID integrati locali o a un unico metodo di autenticazione.
2. Prepara almeno due account di emergenza esclusivamente cloud secondo la politica organizzativa. I nomi degli account devono consentire di identificare il loro scopo ma non devono essere esposti in documenti pubblici o screenshot.
3. Imposta i privilegi di amministratore globale e i metodi di autenticazione seguendo le linee guida Microsoft, e garantisci un percorso di utilizzo indipendente dagli account amministratore regolari. Il metodo di configurazione varia in base alle licenze e alle politiche dell’organizzazione.
4. Configura procedure di allerta e audit per l'uso degli account e le modifiche di configurazione. Se si accede con un account di emergenza, devono essere mantenuti i registri degli incidenti e le revisioni post-evento.
5. Testa regolarmente gli accessi in un ambiente controllato. Dopo il test, verifica che vengano generati i log e gli avvisi previsti e aggiorna le procedure di accesso in caso di cambiamenti del personale.

Cosa verificare durante i test regolari

Microsoft consiglia di convalidare gli account di emergenza almeno ogni 90 giorni. Ricontrolla dopo modifiche dell'amministratore, aggiornamenti delle policy di autenticazione o cambiamenti della posizione di archiviazione. La chiave è distinguere tra "avere un account" e "essere in grado di usarlo per il recupero", in modo che l'account non venga provato per la prima volta durante un'interruzione reale.

1. Informa il responsabile della sicurezza che verrà effettuato un test programmato e verifica che il personale autorizzato possa accedere alle credenziali e all'ambiente di lavoro sicuro designato. Se l'accesso al deposito sicuro delle credenziali dipende da un account di lavoro non disponibile durante l'incidente, anche il percorso di recupero potrebbe essere bloccato.
2. Accedi utilizzando l'account di emergenza senza riutilizzare una sessione di account generale. Conferma che i metodi di autenticazione richiesti funzionino e che le funzioni amministrative siano accessibili. Non disattivare arbitrariamente le politiche organizzative a scopo di test.
3. Verifica se gli account effettivi e i timestamp appaiono nei log di accesso e nei log di audit, e se gli avvisi di monitoraggio vengono inviati ad altri amministratori. Se non sono stati ricevuti avvisi, non considerare il sistema pronto per il normale funzionamento.
4. Dopo il logout, registra i risultati del test, gli utenti che hanno avuto accesso al sistema, gli elementi non riusciti e la persona responsabile della correzione. Dopo l'effettivo utilizzo in emergenza, rivedere le attività svolte e rivalutare le credenziali e le procedure di archiviazione che potrebbero essere state esposte.

Il monitoraggio può essere progettato basandosi sull'ID dell'oggetto account nei registri di accesso Entra. Quando si collegano le notifiche tramite Azure Monitor o gli strumenti di monitoraggio della sicurezza dell'organizzazione, è necessario prima preparare le esportazioni dei log, l'archiviazione e i percorsi di allerta, il che potrebbe richiedere permessi aggiuntivi e comportare costi separati. La semplice creazione di un account non configura automaticamente le allerte. Non registrare l'indirizzo effettivo dell'account di emergenza, i codici di recupero o i luoghi di archiviazione delle chiavi sicure nei documenti pubblici; conservali nei registri operativi controllati.