Microsoft 365 / Configurazione del nuovo dipendente: account, licenze e accesso

Per un nuovo dipendente che utilizzerà Microsoft 365, creare l’account, verificare la posizione di utilizzo e le licenze necessarie, assegnare gruppi e ruoli approvati e controllare il primo accesso ai servizi. La sola creazione dell’account non rende pronti posta elettronica e servizi di collaborazione. Partire da un elenco approvato di requisiti e verificare che il dipendente possa utilizzare i servizi necessari.

Informazioni da ottenere prima di iniziare

Confermare con le risorse umane e i responsabili aziendali il nome visualizzato, il nome di accesso e l'indirizzo email del nuovo dipendente da utilizzare, la data di inizio, il reparto, il paese/area di lavoro, le app richieste, l'ambito di accesso al team/sito e il ruolo amministrativo. Controllare anche che non esistano account con lo stesso nome o alias esistenti. Anche quando si creano più account contemporaneamente, non copiare uniformemente permessi e licenze; verificarli in base alle mansioni lavorative.

Le licenze possono essere assegnate solo se l'organizzazione ha un abbonamento e licenze disponibili. La posizione d'uso applicata all'utente è designata in base alle informazioni di lavoro effettive, poiché è correlata alla disponibilità del servizio. È possibile verificare il menu attuale e le condizioni dei permessi nella guida di Microsoft per aggiungere utenti e nella guida per assegnare licenze.

Divisione delle responsabilità di richiesta, approvazione, esecuzione e verifica

La richiesta di copiare la configurazione di un dipendente vicino non sostituisce un elenco di autorizzazioni approvato: quel dipendente potrebbe avere accesso temporaneo a un progetto o privilegi amministrativi. Per una riassunzione, ispezionare gli account esistenti e cancellati e i requisiti di trasferimento dati prima di creare un altro account. In un'organizzazione che sincronizza una directory locale, stabilire prima quale directory è autorevole e creare l'account attraverso quel processo approvato.

Ordine per la creazione dell'account e della licenza del nuovo dipendente

1. Nella visualizzazione della dashboard del centro amministrativo di Microsoft 365, apri Utenti → Utenti attivi, cerca il nome di accesso previsto e gli indirizzi esistenti, e controlla i licenze disponibili. Usa un account autorizzato a creare utenti, come un Amministratore Utenti nel suo ambito consentito. Un Amministratore di Licenze può gestire l'assegnazione delle licenze ma non può creare utenti soltanto detenendo quel ruolo; vedi Autorizzazioni dell'Amministratore di Licenze.
2. Seleziona Aggiungi un utente. Inserisci il nome, il nome utente e il dominio, verifica le regole di denominazione dell’organizzazione e imposta la posizione di utilizzo durante l’assegnazione delle licenze dei prodotti. Rivedi le impostazioni della password, inclusa la richiesta di cambio password al primo accesso per questo account basato su password. Se il tenant utilizza una directory sorgente sincronizzata, segui il processo approvato di creazione e sincronizzazione anziché creare un account cloud duplicato.
3. Seleziona le licenze prodotto e i piani di servizio richiesti. Scegli in base alle funzionalità effettivamente necessarie per il lavoro, come posta, Teams e app desktop, e non assegnare prodotti non necessari per abitudine.
4. Verifica le impostazioni e seleziona Fine aggiunta. Riapri l'utente sotto Utenti → Utenti attivi → Licenze e app e verifica i prodotti e i piani di servizio salvati. L'assegnazione della licenza e la fornitura del servizio sono stati separati; una casella di posta può essere ancora in preparazione dopo che una licenza è stata assegnata.

Prima di creare l’account, definire come verificare l’identità del dipendente e consegnargli la password iniziale. Il dipendente deve cambiare la password e registrare i metodi di autenticazione al primo accesso senza comunicare la nuova password o i codici all’amministratore. La guida alla creazione dell’account e all’assegnazione delle licenze descrive i campi da compilare e le verifiche in caso di errore.

Come vengono concessi i gruppi e le autorizzazioni di accesso?

I gruppi di sicurezza possono controllare l'accesso alle app o alle risorse e l'ambito delle policy; i gruppi di Microsoft 365 possono connettere le risorse di collaborazione come Teams e SharePoint. Ottenere l'approvazione dall'azienda e dai proprietari delle risorse prima di aggiungere l'impiegato. Se le licenze sono basate sui gruppi, identificare quali assegnazioni sono dirette e quali ereditate, e controllare prodotti o piani di servizio incompatibili invece di aggiungere ulteriori assegnazioni dirette per nascondere un errore. La guida di Microsoft alla licenza basata sui gruppi spiega il flusso di lavoro dell'assegnazione e della risoluzione dei problemi.

Il ruolo di amministratore è trattato separatamente dai permessi generali degli utenti. Concedere solo i permessi minimi necessari per le attività assegnate e, se possibile, separare gli account di lavoro generali dagli account amministrativi.

Per l'appartenenza ai Teams, apri Centro amministrativo di Teams → Teams → Gestisci team → il team target → Membri e aggiungi l'account approvato; Microsoft documenta questi controlli in la sua guida all'assegnazione di proprietari e membri dei team. Per i gruppi di sicurezza o Microsoft 365, usa Team e gruppi → Team e gruppi attivi nel centro amministrativo di Microsoft 365. Non concedere a un lettore di SharePoint la piena appartenenza al team solo per rendere un file accessibile, perché l'appartenenza può garantire accesso alla modifica e ad altre collaborazioni. Verifica la lettura delle cassette postali condivise e la delega di invio separatamente dall'appartenenza al gruppo.

Sequenza di verifica per organizzazioni che utilizzano licenze basate sui gruppi

1. Per prima cosa, controlla i prodotti e le app associati al gruppo di licenze per il ruolo lavorativo pertinente. Per i gruppi dinamici, assicurati anche che gli attributi dei nuovi dipendenti, come il dipartimento, corrispondano alle regole.
2. Aggiungi l'utente al gruppo approvato e rileggi l'elenco dei membri. Non presumere che una struttura annidata, in cui un utente è aggiunto solo a un altro gruppo all'interno del gruppo, propaghi le assegnazioni di licenze.
3. Controlla i risultati effettivi delle assegnazioni in Fatturazione → Licenze sotto i dettagli del prodotto e dell'utente. L'aggiunta riuscita a un gruppo e l'assegnazione riuscita del prodotto sono stati separati.
4. Se l'assegnazione fallisce, aprire Fatturazione → Licenze → il prodotto → Errori e problemi. Controllare l'utente interessato per numero insufficiente di licenze disponibili, posizione d'uso non valida o piani di servizio in conflitto. Correggere la causa, quindi selezionare Rielabora nei dettagli dell'errore dell'utente e verificare nuovamente l'assegnazione risultante. Non assegnare direttamente un altro prodotto solo per nascondere l'errore originale.

Un utente può ricevere licenze attraverso più percorsi: documentare le assegnazioni dirette e i gruppi di origine di quelle ereditate. Per spostarlo in un altro gruppo di licenze, aggiungerlo prima al gruppo di destinazione, verificare che la nuova licenza sia applicata e solo dopo rimuoverlo dal gruppo originario. Controllare separatamente l’assegnazione delle licenze e la revoca dell’accesso ai dati.

Cosa controllare prima del primo accesso

• Assicurati che la password iniziale e il metodo di consegna siano conformi alle procedure di sicurezza dell'organizzazione e guida l'utente a cambiare la password al primo accesso.
• Spiega l'autenticazione multifattoriale (MFA), che verifica l'identità utilizzando più di un tipo di fattore, e comunica al dipendente quali metodi di registrazione sono consentiti dall'organizzazione. Spiega anche eventuali requisiti di registrazione del dispositivo e di Accesso Condizionale. Concedi tempo per preparare un metodo di autenticazione approvato; gli amministratori non devono raccogliere i codici di verifica del dipendente.
• Verifica con il nuovo dipendente o con la persona responsabile l'indirizzo e-mail di ricezione, l'accesso richiesto al team/sito e la disponibilità delle app.
• Se c’è un problema, individua la causa nell'ordine dei risultati dell'assegnazione della licenza, dell'appartenenza al gruppo, dei log di accesso e dello stato del servizio.

Verifiche del primo giorno e documentazione della consegna

Ad esempio, utilizza i seguenti controlli durante l'onboarding di un rappresentante di vendita. Usa documenti senza informazioni reali sui clienti e destinatari delle email approvati.

1. Il nuovo dipendente accede con l'account aziendale corretto e completa la registrazione e l'autenticazione MFA. Se è richiesta la registrazione del PC aziendale, controlla anche la preparazione del dispositivo e i risultati dell'accesso condizionale.
2. Apri la casella di posta in Outlook per il web e verifica l'invio e la ricezione dei test interni ed esterni. Se utilizzi una casella di posta condivisa, controlla anche l'accesso come delegato del tuo account e l'identità dei mittenti consentiti.
3. Aprire i documenti di test nel team/sito designato ed eseguire la lettura e la modifica secondo le proprie mansioni lavorative. Il semplice fatto di poter aprire i link delle cartelle non significa che tutte le autorizzazioni sui dati siano appropriate.
4. Installare e attivare le applicazioni desktop necessarie e salvare i documenti. Distinguere dove si verificano i guasti nei diritti di licenza delle app, nell’accesso ai file o nei criteri dei dispositivi.
5. Fornire al dipendente e al referente del dipartimento un resoconto dei controlli completati e di quelli ancora in sospeso, insieme al contatto di supporto. Registrare chi rimuoverà l'accesso temporaneo e pulirà i materiali di test, e quando tale lavoro è previsto.

Se il passaggio di login fallisce, controlla il registro di login; se solo l'app non si apre, controlla la licenza e la preparazione del servizio; se solo un file specifico non si apre, controlla i permessi effettivi di archiviazione. Non creare ripetutamente nuovi account solo perché un nuovo dipendente non riesce a effettuare il login nel suo primo giorno. Per gruppi o ruoli assegnati in modo errato, revoca solo quell'elemento e verifica anche se l'accesso ad altri lavori rimane.