Single sign-on e identità esterne

Single Sign-On (SSO) consente a un utente di autenticarsi una volta sola e accedere a più applicazioni senza reinserire le credenziali per ciascuna di esse. Entra ID funge da provider di identità centrale (IdP): dopo l'accesso alla piattaforma di identità Microsoft, vengono emessi token che consentono di accedere a tutte le applicazioni registrate che l'utente è autorizzato a utilizzare. L'SSO migliora la sicurezza riducendo l'affaticamento causato dalle password e la proliferazione di credenziali specifiche per ogni app.

Entra ID supporta due protocolli SSO principali. OpenID Connect (OIDC) è lo standard moderno basato su OAuth 2.0, utilizzato dalle app Microsoft e dalla maggior parte delle nuove applicazioni SaaS; emette JSON Web Tokens (JWT). SAML 2.0 è un protocollo meno recente basato su XML, ancora richiesto da molte applicazioni aziendali legacy e supportato da migliaia di app preintegrate nella raccolta di applicazioni di Entra ID.

Entra ID offre una application gallery con integrazioni SSO preconfigurate per oltre 3.000 applicazioni SaaS, tra cui Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom e molte altre. Aggiungendo un'applicazione dalla raccolta, i metadati SSO vengono configurati automaticamente, riducendo drasticamente i tempi di integrazione. Per le app non presenti nella raccolta, è possibile configurare manualmente i parametri di federazione SAML o OIDC.

Il My Apps portal (myapps.microsoft.com) è un portale web self-service in cui gli utenti visualizzano tutte le applicazioni aziendali a cui è stato assegnato loro l'accesso e possono avviarle con un solo clic. Gli amministratori IT controllano quali app vengono visualizzate e per quali utenti. Se le funzionalità self-service sono abilitate, da questo portale gli utenti possono anche gestire le appartenenze ai gruppi e le richieste di accesso.

Entra ID B2B (Business-to-Business) consente di invitare partner esterni, collaboratori e fornitori nel proprio tenant come guest users. Gli utenti guest si autenticano tramite il provider di identità della propria organizzazione (un altro tenant Entra ID, Google o qualsiasi provider SAML/OIDC), quindi ricevono un token di accesso alle risorse. È possibile controllare esattamente a quali app, gruppi e risorse possono accedere gli utenti guest tramite RBAC standard e Conditional Access policies.

Quando si invita un utente esterno, questi riceve un messaggio email con un collegamento per riscattare l'invito. Dopo aver fatto clic sul collegamento, si autentica usando le proprie credenziali (non una nuova password nel tenant) ed Entra ID crea nella directory un guest user object che lo rappresenta. Da quel momento, gli amministratori assegnano ruoli e appartenenze ai gruppi all'utente guest proprio come agli utenti interni, mentre l'utente continua ad autenticarsi tramite la propria organizzazione di origine.

Entra External ID for customers (formerly Azure AD B2C) è un servizio di identità separato per le applicazioni rivolte ai consumatori. Consente ai clienti di registrarsi e accedere usando il proprio indirizzo email, numero di telefono o account social (Google, Facebook, Apple). A differenza di B2B, che esegue la federazione con identità organizzative esistenti, B2C crea e gestisce gli account delle identità dei clienti, supportando milioni di utenti con esperienze di accesso personalizzate con il proprio brand.

La scelta tra B2B e B2C dipende dal tipo di utenti. B2B è destinato a partner commerciali e dipendenti di altre organizzazioni che dispongono già di un'identità aziendale con cui autenticarsi. B2C è destinato agli utenti finali che non dispongono di un'identità organizzativa e si registrano con un'email o un account social. Gli utenti B2B vengono visualizzati nel tenant come guest; gli utenti B2C vengono archiviati nella directory del tenant B2C.

Entra ID supporta la direct federation con provider di identità SAML o WS-Fed esterni. Questa funzionalità è utile quando un'organizzazione partner usa un IdP non Microsoft, come Okta, Ping Identity o AD FS. Dopo aver configurato la federazione, tutti gli utenti del dominio del partner possono accedere alle applicazioni usando il proprio IdP, senza dover ricevere inviti guest individuali: una soluzione ideale per partnership di grandi dimensioni con molti utenti.

Le cross-tenant access settings (XTAP) in Entra ID offrono un controllo granulare sulla collaborazione in entrata e in uscita con tenant partner specifici. È possibile configurare criteri per ogni tenant, scegliendo se considerare attendibili o meno le attestazioni MFA del partner e lo stato di conformità dei dispositivi, evitando che gli utenti guest debbano ripetere l'MFA quando l'hanno già completata nel tenant di origine. XTAP sostituisce i precedenti elenchi B2B di autorizzazione e blocco.

Entra ID supporta l'eliminazione completa delle password tramite l'autenticazione passwordless. Le opzioni includono: Windows Hello for Business (biometria o PIN associato a un dispositivo), FIDO2 security keys (chiavi hardware USB/NFC di YubiKey e altri produttori) e l'app Microsoft Authenticator con accesso tramite telefono (corrispondenza del numero). I metodi passwordless sono più sicuri delle password e più pratici per gli utenti, contrastando il principale vettore di attacco per la compromissione degli account.

Verifichi la Sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha imparato che: l'SSO con Entra ID consente agli utenti di autenticarsi una volta sola e accedere a più applicazioni, B2B invita partner esterni come utenti guest, che si autenticano tramite il proprio IdP e B2C gestisce gli account delle identità dei consumatori con il supporto dell'accesso tramite account social. Nella prossima lezione esamineremo gli strumenti di sicurezza di Azure, iniziando da Microsoft Defender for Cloud.