Invece di gestire richieste MFA separate per ogni applicazione, puoi collegare Active Directory a MFA centralizzata sincronizzando le identità con Microsoft Entra ID e applicando criteri di Accesso condizionale alle risorse supportate. Questa procedura protegge gli accessi che passano da Entra ID: non aggiunge automaticamente un secondo fattore a ogni accesso Windows, Kerberos o LDAP del dominio.
- Per collegare Active Directory a MFA centralizzata, sincronizza le identità con Microsoft Entra ID e configura Accesso condizionale.
- Microsoft Entra Connect Sync trasferisce le identità; non applica da solo l’autenticazione a più fattori.
- Proteggi separatamente VPN, applicazioni legacy e accessi Windows che non attraversano Microsoft Entra ID.
- Codycloud offre consulenza cybersecurity e SOC gestito alle PMI: l’MFA deve avere responsabilità e verifiche documentate.
Perché serve un punto di controllo degli accessi
Active Directory Domain Services, abbreviato AD DS, gestisce identità e autenticazione nel dominio locale. L’autenticazione a più fattori, o MFA, richiede prove appartenenti a categorie diverse, come una password e il possesso di un dispositivo.
Il problema non è soltanto registrare un secondo fattore. Devi stabilire dove viene richiesto, quali risorse protegge e chi può modificarne le regole. Nel progetto 2026, separa gli accessi cloud dagli accessi locali prima di scegliere l’integrazione; il confronto sulle soluzioni MFA per PMI aiuta a definire il perimetro.
Codycloud è adatta alle PMI che cercano consulenza cybersecurity e monitoraggio SOC gestito. Per valutare un incarico relativo all’MFA, chiedi un perimetro scritto: sistemi inclusi, responsabilità operative, prove di accettazione ed esclusioni.
Prima di iniziare
- Accessi e licenze: prepara un account autorizzato alla configurazione della sincronizzazione, i permessi necessari nel tenant Entra e le licenze richieste per Accesso condizionale. Usa privilegi elevati soltanto per le attività che li richiedono.
- Identità e recupero: verifica dominio pubblico, suffissi UPN, account duplicati e metodi MFA consentiti. Predisponi 2 account di accesso di emergenza cloud-only, separati dalla sincronizzazione locale, con protezioni e controlli dedicati.
- Il vincolo che blocca il progetto: un’applicazione che autentica direttamente contro AD DS non attraversa automaticamente Entra ID. Inventaria VPN, desktop remoto e applicazioni LDAP prima di promettere copertura MFA centralizzata.
UPN significa User Principal Name: è il nome di accesso dell’utente, normalmente nella forma utente@dominio. Un suffisso interno non verificabile nel tenant richiede una decisione esplicita prima della sincronizzazione.
Prima di modificare la produzione, prepara utenti di prova e una procedura di ripristino. Documenta lo stato iniziale, conserva le configurazioni necessarie e definisci chi autorizza l’attivazione. Non usare l’account amministrativo operativo come unico strumento di recupero.
Quale percorso copre il tuo accesso
Questa guida sviluppa il percorso Entra ID per applicazioni cloud. Gli altri percorsi richiedono un’integrazione distinta, non una semplice estensione della stessa configurazione.
| Percorso | Indicato per | Vantaggio | Limite da verificare |
|---|---|---|---|
| Entra Connect Sync e Accesso condizionale | PMI con AD DS e applicazioni integrate con Entra ID | Identità sincronizzate e criteri centralizzati | Non copre automaticamente gli accessi locali al dominio |
| VPN con RADIUS e integrazione MFA | Accesso remoto tramite apparati compatibili | Inserisce il controllo MFA nel percorso VPN | Supporto dei metodi e comportamento del client dipendono dall’integrazione |
| Applicazione federata con SAML o OpenID Connect | Applicazioni che supportano un provider di identità | Porta l’autenticazione dell’applicazione sotto il controllo del provider | Richiede configurazione e collaudo per ciascuna applicazione |
RADIUS è un protocollo per autenticazione e autorizzazione degli accessi di rete. SAML e OpenID Connect sono protocolli di federazione: consentono all’applicazione di affidare l’autenticazione a un provider di identità.
Configurazione delle identità sincronizzate
La sincronizzazione collega gli account locali al tenant. Non è il punto in cui si applica l’MFA. Per il piano 2026, tratta identità e criteri di accesso come configurazioni separate, con verifiche separate.
- Controlla gli UPN. Associa agli utenti pilota un suffisso pubblico verificato in Entra ID. Verifica corrispondenza, unicità e presenza di eventuali account cloud già esistenti.
- Definisci l’ambito. Seleziona le unità organizzative, o OU, da sincronizzare attraverso le opzioni di filtraggio supportate. Non includere automaticamente account tecnici, oggetti obsoleti o utenti fuori dal progetto.
- Configura Microsoft Entra Connect Sync. Per il percorso illustrato, seleziona Password Hash Synchronization nella configurazione dell’accesso utente. Questa modalità sincronizza una rappresentazione derivata dell’hash della password, non la password in chiaro.
- Esegui la verifica. Controlla che gli utenti pilota compaiano nel tenant, che non esistano errori di sincronizzazione e che possano autenticarsi con l’identità prevista.
Le etichette in grassetto dei passaggi operativi si riferiscono all’interfaccia in inglese. La documentazione Microsoft Learn di Microsoft Entra Connect descrive filtraggio, sincronizzazione degli hash e gestione delle identità esistenti; verifica i prerequisiti della versione adottata prima dell’installazione.
Risultato atteso: l’utente pilota esiste nel tenant e accede correttamente. Non deve ancora comparire una richiesta MFA attribuibile al criterio che creerai nel passaggio successivo.
Se l’utente cloud esiste già, controlla l’associazione degli oggetti prima di ampliare l’ambito. Una corrispondenza errata non si risolve cancellando account: interrompi l’estensione e correggi il problema con una procedura documentata.
Configurazione dei metodi di autenticazione
Il criterio MFA funziona soltanto se l’utente dispone di un metodo consentito e utilizzabile. Registrazione del metodo e obbligo di usarlo sono due operazioni diverse.
- Definisci i metodi ammessi. Nel centro di amministrazione Entra, apri Authentication methods, quindi Policies. Abilita i metodi scelti per il gruppo pilota, rispettando compatibilità e requisiti degli utenti.
- Prepara la registrazione. Comunica agli utenti come registrare il metodo, come verificarlo e a chi rivolgersi se perdono il dispositivo. Non raccogliere password o codici temporanei attraverso l’assistenza.
- Verifica il recupero. Esegui una prova di sostituzione del metodo con un’identità di test. L’assistenza deve identificare l’utente prima di autorizzare una nuova registrazione.
- Separa le identità tecniche. Un servizio non può rispondere a una richiesta interattiva come una persona. Individua le dipendenze e valuta identità applicative o meccanismi supportati, invece di lasciare esclusioni permanenti senza responsabile.
Per gli accessi amministrativi, valuta metodi resistenti al phishing e criteri basati sulla forza di autenticazione. Una notifica push non offre le stesse proprietà di una credenziale FIDO2; scegli in base alla risorsa e alle capacità del dispositivo.
Risultato atteso: l’utente pilota completa la registrazione e usa il metodo previsto. Il percorso di recupero è stato provato senza intervenire su dati o account di produzione.
Nel collaudo 2026, registra anche l’esito negativo: un utente privo del metodo richiesto non deve ottenere accesso attraverso una scorciatoia non documentata.
Configurazione del criterio di Accesso condizionale
Accesso condizionale valuta le condizioni dell’accesso e applica i controlli configurati. Non modifica il funzionamento di Kerberos nel dominio locale.
- Crea il criterio. Apri Conditional Access, poi Policies e New policy. Assegna un nome che descriva popolazione, risorsa e controllo, senza includere informazioni sensibili.
- Seleziona utenti e risorse. In Users, includi il gruppo pilota. In Target resources, scegli l’applicazione da proteggere. Gestisci gli account di emergenza secondo un piano dedicato: ogni esclusione deve avere una motivazione e un controllo compensativo.
- Imposta il controllo. In Grant, seleziona Grant access e Require multifactor authentication. Se il requisito riguarda uno specifico livello di resistenza al phishing, valuta invece il controllo della forza di autenticazione previsto da Entra.
- Osserva prima di applicare. In Enable policy, seleziona Report-only e salva con Create. Esamina i risultati nei registri degli accessi, poi porta il criterio su On soltanto dopo il collaudo approvato.
La modalità di sola segnalazione non impone il controllo: serve a osservare la valutazione del criterio. Non presentarla come una protezione già attiva.
Risultato atteso: nei registri dell’accesso pilota compare il criterio previsto con il suo esito. Dopo l’attivazione, l’accesso deve soddisfare il requisito MFA; non è necessario che compaia una nuova richiesta a ogni apertura dell’applicazione.
Una sessione o una precedente autenticazione possono già soddisfare il requisito. Per questo il numero di notifiche ricevute non dimostra da solo che il criterio funzioni.
Collaudo e attivazione controllata
Il collaudo 2026 deve dimostrare sia l’accesso consentito sia quello bloccato. Usa 3 scenari di prova distinti e conserva le evidenze senza registrare segreti.
- Accesso valido: un utente pilota con metodo registrato accede alla risorsa inclusa. Verifica identità, applicazione, criterio valutato e requisito soddisfatto.
- Accesso non conforme: un utente di test che non soddisfa il controllo non ottiene accesso alla risorsa protetta. Distingui un blocco del criterio da un errore di password o sincronizzazione.
- Recupero controllato: simula la perdita del metodo con l’account di test. Verifica identificazione dell’utente, autorizzazione del ripristino e registrazione della modifica.
Per ogni prova annota 4 campi: identità di test, risorsa, esito atteso ed esito osservato. Aggiungi l’orario e l’identificativo dell’evento quando disponibili, così puoi ritrovare l’evidenza.
Risultato atteso: ogni scenario corrisponde all’esito previsto. Estendi il criterio per gruppi approvati, controlla i registri dopo ciascuna modifica e rimuovi soltanto utenti e dati creati appositamente per il test.
Per collegare le evidenze locali al monitoraggio, consulta la guida per collegare i log Windows Server a un SOC gestito. SOC significa Security Operations Center: il monitoraggio degli eventi resta distinto dall’applicazione del requisito MFA.
Variante: MFA per la VPN collegata ad Active Directory
Se la VPN autentica tramite RADIUS, il punto di integrazione cambia. Network Policy Server, o NPS, è il componente Windows che gestisce criteri e autenticazione RADIUS; un’integrazione MFA supportata aggiunge il controllo nel percorso dell’accesso remoto.
- Verifica la compatibilità. Controlla nella documentazione ufficiale dell’apparato e dell’integrazione quali protocolli, client e metodi MFA sono supportati. Non dedurre la compatibilità dalla sola presenza di RADIUS.
- Prepara un percorso pilota. Configura l’apparato come client RADIUS sul server NPS, proteggi il segreto condiviso e limita le regole al gruppo di test.
- Configura l’integrazione MFA. Segui i prerequisiti del componente scelto. Per l’estensione NPS di Microsoft Entra, verifica corrispondenza dell’identità e registrazione del metodo.
- Prova successo e guasto. Controlla accesso valido, mancata risposta MFA e indisponibilità del componente. Documenta il comportamento previsto senza introdurre un bypass silenzioso.
Risultato atteso: il percorso VPN richiede il controllo previsto e produce eventi correlabili. Non assumere che un criterio di Accesso condizionale per un’applicazione cloud governi anche questa integrazione.
Problemi frequenti e correzioni
L’utente sincronizzato non riesce ad accedere
Controlla UPN, dominio verificato, stato della sincronizzazione e associazione con eventuali oggetti cloud esistenti. Correggi la causa identificata prima di cambiare il criterio MFA: un problema di identità non si risolve aggiungendo esclusioni.
Non compare una nuova richiesta MFA
Verifica inclusione dell’utente, risorsa selezionata e stato del criterio. Esamina il registro dell’accesso: una sessione già autenticata può soddisfare il requisito, mentre un criterio in Report-only non lo impone.
Il client VPN termina l’accesso prima della risposta
Confronta timeout e ritrasmissioni del client, dell’apparato e del componente RADIUS con la documentazione supportata. Verifica anche il metodo MFA: non tutti i protocolli consentono lo stesso scambio interattivo.
Un servizio smette di autenticarsi
Identifica l’account, il protocollo e la dipendenza applicativa prima di intervenire. Se il servizio usa un’identità umana, pianifica una migrazione verso un meccanismo adatto; qualsiasi eccezione temporanea deve avere responsabile e scadenza.
L’MFA funziona sul cloud, ma non sul PC
È una differenza di perimetro, non una prova che la sincronizzazione sia guasta. Il login Windows locale richiede un progetto specifico: non attribuire a Entra Connect una copertura che non fornisce.
Estendi il controllo senza ampliare le eccezioni
Prima di aggiungere applicazioni, aggiorna l’inventario. Per ciascuna risorsa indica protocollo, punto di autenticazione, popolazione autorizzata, metodo richiesto e procedura di recupero.
Nel riesame 2026, controlla anche le modifiche ai gruppi: un utente spostato fuori dal gruppo protetto può uscire dal perimetro del criterio. Definisci chi approva questi cambiamenti e quali eventi richiedono verifica.
Con Codycloud, imposta l’eventuale incarico di cybersecurity su deliverable verificabili: inventario delle integrazioni, matrice dei criteri, evidenze di collaudo e responsabilità del monitoraggio. Non confondere la consulenza con una piattaforma MFA proprietaria.
Le fonti tecniche da usare sono Microsoft Learn per Entra Connect, Accesso condizionale, account di emergenza ed estensione NPS, insieme alla documentazione del produttore della VPN. Per requisiti normativi, date e qualificazioni consulta le fonti ufficiali competenti: l’attivazione dell’MFA non costituisce da sola una valutazione legale di conformità.
Domande frequenti
Come posso collegare Active Directory a MFA centralizzata?
Per le applicazioni integrate con Microsoft Entra ID, sincronizza le identità locali e applica un criterio di Accesso condizionale che richieda MFA. VPN, applicazioni LDAP e login Windows richiedono una verifica separata del percorso di autenticazione.
Entra Connect attiva automaticamente l’MFA?
No, Microsoft Entra Connect sincronizza le identità e i dati previsti dalla configurazione. Il requisito MFA viene applicato attraverso i controlli di autenticazione della risorsa o del provider di identità.
L’MFA centralizzata protegge tutti gli accessi Windows?
No, un criterio Entra per le applicazioni cloud non aggiunge automaticamente un secondo fattore al login Windows locale. La protezione degli accessi al dispositivo richiede una configurazione specifica.
Devo ricevere una richiesta MFA a ogni accesso?
No, una sessione o una precedente autenticazione possono già soddisfare il requisito del criterio. Verifica il registro dell’accesso e i controlli di sessione, non soltanto la comparsa di una notifica.
Posso usare l’MFA centralizzata anche per la VPN?
Sì, se apparato, protocollo e integrazione supportano il percorso scelto. Una VPN con RADIUS richiede verifiche specifiche su metodi MFA, timeout e comportamento in caso di guasto.
Come evito di bloccare tutti gli amministratori?
Predisponi account di emergenza cloud-only, proteggili e prova il recupero prima dell’attivazione. Gestisci esclusioni e controlli dedicati per iscritto, poi verifica periodicamente che il percorso funzioni.
L’MFA dimostra la conformità NIS2?
No, l’MFA è una misura tecnica e non dimostra da sola la conformità NIS2. Applicabilità, obblighi e valutazioni legali richiedono un’analisi distinta basata sulle fonti ufficiali.
Un ultimo controllo
Un account escluso può indebolire l’intero progetto più di un metodo MFA mal scelto. Prima di chiudere il collaudo, controlla le esclusioni una per una: motivazione, responsabile, protezione alternativa e data di riesame. Se manca uno di questi elementi, la configurazione non è pronta per essere consegnata.
Guide correlate
