Quattro passaggi per una solida base di identità con Microsoft Entra ID

La gestione dell'accesso alle app e ai dati non può più basarsi sulle tradizionali strategie di sicurezza di rete, ad esempio reti perimetrali e firewall, a causa del rapido spostamento delle app nel cloud. Ora le organizzazioni devono considerare attendibile la propria soluzione di identità per controllare chi e cosa ha accesso alle app e ai dati dell'organizzazione. Più organizzazioni consentono ai dipendenti di usare i propri dispositivi per lavorare e usare i propri dispositivi ovunque possano connettersi a Internet. Assicurarsi che questi dispositivi siano conformi e sicuri sia diventato una considerazione importante nella soluzione di gestione delle identità che un'organizzazione sceglie di implementare. Nell'attuale ambiente di lavoro digitale, l'identità è il piano di controllo principale di qualsiasi organizzazione che passa al cloud.

Nell'adozione di una soluzione di gestione delle identità ibrida Di Microsoft Entra, le organizzazioni ottengono l'accesso alle funzionalità Premium che consentono di sfruttare la produttività grazie all'automazione, alla delega, alla funzionalità self-service e Single Sign-On. Consente ai dipendenti di accedere alle risorse aziendali ovunque debbano svolgere il proprio lavoro, consentendo ai team IT di gestire tale accesso e garantire che le persone giuste abbiano il diritto di accedere alle risorse giuste per il momento giusto per garantire la produttività sicura.

In base alle nozioni apprese, questo elenco di controllo delle procedure consigliate consente di distribuire rapidamente le azioni consigliate per creare una solida base di identità nell'organizzazione:

• Connettersi facilmente alle app
• Stabilire automaticamente un'identità per ogni utente
• Abilitare gli utenti in modo sicuro
• Rendere operativi i dati analitici

Passaggio 1- Connettersi facilmente alle app

Connettendo le app con Microsoft Entra ID, è possibile migliorare la produttività e la sicurezza degli utenti finali abilitando l'accesso Single Sign-On (SSO) ed eseguendo il provisioning utenti automatico. Gestendo le app in un'unica posizione, Microsoft Entra ID, è possibile ridurre al minimo il sovraccarico amministrativo e ottenere un singolo punto di controllo per i criteri di sicurezza e conformità.

Questa sezione illustra le opzioni disponibili per la gestione dell'accesso utente alle app, l'abilitazione dell'accesso remoto sicuro alle app interne e i vantaggi della migrazione delle app a Microsoft Entra ID.

Rendere le app disponibili agli utenti senza problemi

Microsoft Entra ID consente agli amministratori di aggiungere applicazioni alla raccolta di applicazioni Microsoft Entra nelcentro di amministrazione di Microsoft Entra. L'aggiunta di applicazioni alla raccolta di applicazioni aziendali semplifica la configurazione delle applicazioni per l'uso dell'ID Microsoft Entra come provider di identità. Consente inoltre di gestire l'accesso utente all'applicazione con i criteri di accesso condizionale e di configurare l'accesso Single Sign-On (SSO) alle applicazioni in modo che gli utenti non devono immettere ripetutamente le password e vengano automaticamente connessi alle applicazioni locali e basate sul cloud.

Una volta integrate le applicazioni nella raccolta di Microsoft Entra, gli utenti possono visualizzare le app assegnate e cercare e richiedere altre app in base alle esigenze. Microsoft Entra ID offre diversi metodi per consentire agli utenti di accedere alle proprie app:

• Portale App personali
• Utilità di avvio app di Microsoft 365
• Accesso diretto alle applicazioni federate
• Collegamenti diretti Single Sign-On

Per altre informazioni sull'accesso degli utenti alle app, vedere Passaggio 3.

Eseguire la migrazione di app da Active Directory Federation Services a Microsoft Entra ID

La migrazione della configurazione dell'accesso Single Sign-On da Active Directory Federation Services (ADFS) a Microsoft Entra ID consente funzionalità aggiuntive per la sicurezza, una gestibilità più coerente e la collaborazione. Per ottenere risultati ottimali, è consigliabile eseguire la migrazione delle app da AD FS a Microsoft Entra ID. L'uso dell'autenticazione e dell'autorizzazione dell'applicazione in Microsoft Entra ID offre i vantaggi seguenti:

• Gestione dei costi
• Gestione dei rischi
• Aumento della produttività
• Gestione della conformità e della governance

Abilitare l'accesso remoto sicuro alle applicazioni

Il proxy dell'applicazione Microsoft Entra offre una soluzione semplice per le organizzazioni per pubblicare app locali nel cloud per gli utenti remoti che devono accedere alle app interne in modo sicuro. Dopo l'accesso Single Sign-On a Microsoft Entra ID, gli utenti possono accedere alle applicazioni cloud e locali tramite URL esterni o il portale App personali.

Microsoft Entra application proxy offre i vantaggi seguenti:

• Estensione dell'ID Microsoft Entra alle risorse locali
  • Sicurezza e protezione a livello di scalabilità
  • Funzionalità quali l'accesso condizionale e l'autenticazione a più fattori sono facili da abilitare
• Nessun componente necessario nella rete perimetrale, ad esempio VPN e soluzioni proxy inversa tradizionali
• Nessuna connessione in ingresso necessaria
• Accesso SSO (Single Sign-On) a dispositivi, risorse e app nel cloud e nell'ambiente locale
• Garantire la produttività degli utenti finali sempre e ovunque

Scoprire Shadow IT con Microsoft Defender for Cloud Apps

Nelle aziende moderne i reparti IT spesso non sono consapevoli di tutte le applicazioni cloud usate dagli utenti per svolgere il proprio lavoro. Quando agli amministratori IT viene chiesto quante app cloud pensano che i dipendenti usino, in media dicono 30 o 40. In realtà, la media è superiore a 1.000 app separate usate dai dipendenti dell'organizzazione. L'80% dei dipendenti usa app non approvate che non sono state esaminate e che potrebbero non essere conformi ai criteri di sicurezza e conformità.

Microsoft Defender for Cloud Apps consente di identificare app utili popolari con gli utenti che possono approvare e integrare in Microsoft Entra ID in modo che gli utenti possano trarre vantaggio da funzionalità come SSO e accesso condizionale.

"Defender for Cloud Apps ci aiuta a garantire che le persone usino correttamente le applicazioni cloud e SaaS, in modo da supportare i criteri di sicurezza fondamentali che consentono di proteggere Accenture". --- John Blasi, Managing Director, Information Security, Accenture

Oltre a rilevare shadow IT, Microsoft Defender for Cloud Apps può anche determinare il livello di rischio delle app, impedire l'accesso non autorizzato ai dati aziendali, possibili perdite di dati e altri rischi di sicurezza intrinseci nelle applicazioni.

Passaggio 2- Stabilire automaticamente un'identità per ogni utente

L'integrazione di directory locali e basate sul cloud in una soluzione di gestione ibrida di Microsoft Entra consente di riutilizzare l'investimento di Active Directory locale esistente effettuando il provisioning delle identità esistenti nel cloud. La soluzione sincronizza le identità locali con Microsoft Entra ID, mentre l'IT mantiene l'istanza locale di Active Directory in esecuzione con qualsiasi soluzione di governance esistente come origine principale della verità per le identità. La soluzione per le identità ibride Microsoft Entra di Microsoft si occupa di funzionalità locali e basate sul cloud, creando un'identità utente comune per l'autenticazione e l'autorizzazione per tutte le risorse, a prescindere dalla loro posizione.

Integrare le directory locali con Microsoft Entra ID per rendere gli utenti più produttivi. Impedire agli utenti di usare più account tra app e servizi fornendo un'identità comune per accedere alle risorse cloud e locali. L'uso di più account è un punto di difficoltà per gli utenti finali e l'IT. Dal punto di vista dell'utente finale, avere più account significa dover ricordare più password. Per evitare questo problema, molti utenti riutilizzano la stessa password per ogni account, il che non è valido dal punto di vista della sicurezza. Dal punto di vista IT, il riutilizzo spesso comporta un maggior numero di reimpostazioni delle password e costi del supporto tecnico insieme ai reclami degli utenti finali.

Microsoft Entra Connect è lo strumento usato per sincronizzare le identità locali con Microsoft Entra ID, che può quindi essere usato per accedere alle applicazioni integrate. Una volta che le identità si trovano nell'ID Microsoft Entra, possono essere sottoposte a provisioning in applicazioni SaaS come Salesforce o Concur.

In questa sezione vengono elencati i suggerimenti per fornire disponibilità elevata, autenticazione moderna per il cloud e ridurre il footprint locale.

Configurare un server di gestione temporanea per Microsoft Entra Connect e mantenerlo aggiornato

Microsoft Entra Connect svolge un ruolo chiave nel processo di provisioning. Se il server che esegue Microsoft Entra Connect diventa offline per qualsiasi motivo, le modifiche apportate all'ambiente locale non verranno aggiornate nel cloud e causano problemi di accesso agli utenti. È importante definire una strategia di failover che consenta agli amministratori di riprendere rapidamente la sincronizzazione dopo che il server Microsoft Entra Connect diventa offline.

Per garantire la disponibilità elevata nel caso in cui il server Principale di Microsoft Entra Connect sia offline, è consigliabile distribuire un server di gestione temporanea separato per Microsoft Entra Connect. Con un server in modalità di gestione temporanea è possibile apportare modifiche alla configurazione e visualizzarle in anteprima prima di attivare il server. È anche possibile eseguire operazioni di importazione e sincronizzazione complete per verificare che tutte le modifiche siano previste prima di introdurle nell'ambiente di produzione. La distribuzione di un server di staging consente all'amministratore di "alzare di livello" l'ambiente di produzione tramite un semplice commutatore di configurazione. La configurazione di un server standby in modalità di gestione temporanea consente anche di introdurre un nuovo server se si ritira quello precedente.

Abilitare l'autenticazione cloud

Le organizzazioni con Active Directory locale devono estendere la directory a Microsoft Entra ID usando Microsoft Entra Connect e configurare il metodo di autenticazione appropriato. La scelta del metodo di autenticazione corretto per l'organizzazione è il primo passaggio nel percorso di spostamento delle app nel cloud. È un componente fondamentale perché controlla l'accesso a tutti i dati e le risorse cloud.

Il metodo più semplice e consigliato per abilitare l'autenticazione cloud per gli oggetti directory locali in Microsoft Entra ID è la sincronizzazione dell'hash delle password (PHS). In alternativa, alcune organizzazioni possono prendere in considerazione l'abilitazione dell'autenticazione pass-through (PTA).

Se si sceglie PHS o PTA, non dimenticare di prendere in considerazione l’accesso SSO per consentire agli utenti di accedere alle app senza immettere costantemente il nome utente e la password. L'accesso SSO può essere ottenuto usando dispositivi aggiunti a Microsoft Entra ibridi o aggiunti a Microsoft Entra mantenendo l'accesso alle risorse locali. Per i dispositivi che non possono essere aggiunti a Microsoft Entra, l’accesso Single Sign-On facile (Seamless SSO) consente di fornire tali funzionalità. Senza l'accesso Single Sign-On, gli utenti devono ricordare le password specifiche dell'applicazione e accedere a ognuna di esse. Analogamente, il personale IT deve creare e aggiornare gli account utente per ogni applicazione, ad esempio Microsoft 365, Box e Salesforce. Gli utenti devono ricordare le password, oltre a impiegare il tempo necessario per accedere a ogni applicazione. Fornire un meccanismo di accesso Single Sign-On standardizzato per l'intera azienda è fondamentale per un'esperienza utente ottimale, la riduzione del rischio, la capacità di segnalare e la governance.

Per le organizzazioni che usano già AD FS o un altro provider di autenticazione locale, passare all'ID Microsoft Entra perché il provider di identità può ridurre la complessità e migliorare la disponibilità. A meno che non si disponga di casi d'uso specifici per l'uso della federazione, è consigliabile eseguire la migrazione dall'autenticazione federata a PHS o PTA. In questo modo è possibile sfruttare i vantaggi di un footprint locale ridotto e la flessibilità offerta dal cloud con esperienze utente migliorate. Per altre informazioni, vedere Eseguire la migrazione dalla federazione alla sincronizzazione dell'hash delle password per Microsoft Entra ID.

Abilitare il deprovisioning automatico degli account

L'abilitazione del provisioning automatizzato e del deprovisioning nelle applicazioni è la strategia migliore per gestire il ciclo di vita delle identità in più sistemi. Microsoft Entra ID supporta il provisioning automatizzato basato su criteri e il deprovisioning degli account utente in varie applicazioni SaaS comuni, ad esempio ServiceNow e Salesforce, e altri che implementano il protocollo SCIM 2.0. A differenza delle soluzioni di provisioning tradizionali, che richiedono codice personalizzato o caricamento manuale di file CSV, il servizio di provisioning è ospitato nel cloud e include connettori preintegrati che possono essere configurati e gestiti tramite l'interfaccia di amministrazione di Microsoft Entra. Un vantaggio fondamentale del deprovisioning automatico è che consente di proteggere l'organizzazione rimuovendo immediatamente le identità degli utenti dalle app SaaS chiave quando lasciano l'organizzazione.

Per altre informazioni sul provisioning automatico degli account utente e sul relativo funzionamento, vedere Automatizzare il provisioning e il deprovisioning utenti in applicazioni SaaS con Microsoft Entra ID.

Passaggio 3: consentire agli utenti di eseguire in modo sicuro

Nell'ambiente di lavoro digitale di oggi è importante bilanciare la sicurezza con la produttività. Tuttavia, gli utenti finali spesso eseguono il push delle misure di sicurezza che rallentano la produttività e l'accesso alle app. Per risolvere questo problema, Microsoft Entra ID offre funzionalità self-service che consentono agli utenti di rimanere produttivi riducendo al minimo il sovraccarico amministrativo.

Questa sezione elenca le raccomandazioni per rimuovere l'attrito dall'organizzazione consentendo agli utenti di rimanere vigili.

Abilitare la reimpostazione della password self-service per tutti gli utenti.

La reimpostazione self-service delle password (SSPR) di Azure offre agli amministratori IT una modalità semplice per consentire agli utenti di reimpostare o sbloccare le password o gli account senza intervento dell'amministratore. Il sistema include report dettagliati per tenere traccia del momento in cui gli utenti accedono al sistema, oltre a notifiche per segnalare usi impropri.

Per impostazione predefinita, Microsoft Entra ID sblocca gli account quando esegue una reimpostazione della password. Tuttavia, quando si abilita l'integrazione in locale di Microsoft Entra Connect, è anche possibile separare queste due operazioni, che consentono agli utenti di sbloccare il proprio account senza dover reimpostare la password.

Verificare che tutti gli utenti siano registrati per MFA e SSPR

Azure fornisce report usati dalle organizzazioni per assicurarsi che gli utenti siano registrati per MFA e SSPR. Gli utenti che non hanno eseguito la registrazione potrebbero dover essere istruiti sul processo.

Il report sugli accessi MFA include informazioni sull'utilizzo dell'autenticazione a più fattori e fornisce informazioni dettagliate sul funzionamento dell'autenticazione a più fattori nell'organizzazione. L'accesso alle attività di accesso (e ai controlli e agli eventi di rischio) per Microsoft Entra ID è fondamentale per la risoluzione dei problemi, l'analisi dell'utilizzo e le indagini forensi.

Analogamente, il report gestione password self-service può essere usato per determinare chi ha (o non ha) registrato per la SSPR.

Gestione delle app self-service

Prima che gli utenti possano da soli individuare le applicazioni dal pannello di accesso, è necessario abilitare l'accesso alle applicazioni self-service per tutte le applicazioni per cui si desidera consentire l'individuazione e l'accesso da parte degli utenti. La richiesta può richiedere facoltativamente l'approvazione prima di concedere l'accesso.

Gestione di gruppi self-service

L'assegnazione di utenti alle applicazioni è il mapping ottimale usando i gruppi perché consentono una maggiore flessibilità e capacità di gestire su larga scala:

• Gruppi di appartenenza dinamica
• Delega ai proprietari delle app

Microsoft Entra ID consente di gestire l'accesso alle risorse usando gruppi di sicurezza e gruppi di Microsoft 365. Questi gruppi vengono gestiti da un proprietario del gruppo che può approvare o negare le richieste di appartenenza e delegare il controllo dei gruppi di appartenenza dinamica basati sugli attributi. La funzionalità di gestione dei gruppi self-service consente di risparmiare tempo consentendo ai proprietari di gruppi a cui non è assegnato un ruolo amministrativo di creare e gestire i gruppi senza dover fare affidamento sugli amministratori per gestire le richieste.

Passaggio 4: rendere operativi i dati analitici

Il controllo e la registrazione degli eventi correlati alla sicurezza e degli avvisi correlati sono componenti essenziali di una strategia efficiente per garantire che gli utenti rimangano produttivi e che l'organizzazione sia sicura. I log e i report di sicurezza consentono di rispondere a domande come:

• Stai usando quello che stai pagando?
• C'è qualcosa di sospetto o dannoso che accade nel tenant?
• Chi è stato interessato durante un incidente di sicurezza?

I log e i report di sicurezza forniscono un record elettronico di attività e consentono di rilevare modelli che possono indicare tentativi o attacchi riusciti. È possibile usare la funzione di controllo per monitorare l'attività dell'utente, documentare la conformità alle normative, eseguire analisi forensi e altro ancora. Gli avvisi forniscono notifiche di eventi di sicurezza.

Assegnare ruoli di amministratore con privilegi minimi per le operazioni

Quando si pensa all'approccio alle operazioni, è necessario prendere in considerazione un paio di livelli di amministrazione. Il primo livello comporta l'onere dell'amministrazione per gli amministratori delle identità ibride. Usare sempre il ruolo di amministratore delle identità ibride, potrebbe essere appropriato per le aziende più piccole. Tuttavia, per le organizzazioni di grandi dimensioni con personale help desk e amministratori responsabili di attività specifiche, l'assegnazione del ruolo di amministratore delle identità ibride può essere un rischio per la sicurezza perché fornisce a tali utenti la possibilità di gestire attività che non rientrano nelle proprie capacità.

In questo caso, è consigliabile considerare il livello di amministrazione successivo. Usando Microsoft Entra ID, è possibile designare gli utenti finali come "amministratori limitati" che possono gestire le attività in ruoli con privilegi inferiori. Ad esempio, è possibile assegnare al personale dell'help desk il ruolo con autorizzazioni di lettura per la sicurezza per fornire loro la possibilità di gestire le funzionalità correlate alla sicurezza con accesso in sola lettura. O forse è opportuno assegnare il ruolo di amministratore dell'autenticazione agli utenti per consentire loro di reimpostare le credenziali non password o leggere e configurare Integrità dei servizi di Azure.

Per altre informazioni, vedere Autorizzazioni del ruolo di amministratore in Microsoft Entra ID.

Monitorare i componenti ibridi (Microsoft Entra Connect Sync, AD FS) usando Microsoft Entra Connect Health

Microsoft Entra Connect e AD FS sono componenti critici che possono potenzialmente interrompere la gestione del ciclo di vita e l'autenticazione e, in ultima analisi, causare interruzioni. Pertanto, è consigliabile distribuire Microsoft Entra Connect Health per il monitoraggio e la creazione di report di questi componenti.

Per altre informazioni, vedere Monitorare AD FS con Microsoft Entra Connect Health.

Usare Monitoraggio di Azure per raccogliere i log dei dati per l'analisi

Monitoraggio di Azure è un portale di monitoraggio unificato per tutti i log di Microsoft Entra, che fornisce informazioni dettagliate, analisi avanzate e Machine Learning intelligente. Con Monitoraggio di Azure è possibile usare metriche e log all'interno del portale e tramite API per ottenere maggiore visibilità sullo stato e sulle prestazioni delle risorse. Consente un'unica esperienza di vetro all'interno del portale, consentendo al contempo un'ampia gamma di integrazioni di prodotti tramite API ed opzioni di esportazione dei dati che supportano sistemi SIEM di terze parti tradizionali. Monitoraggio di Azure offre anche la possibilità di configurare le regole di avviso per ricevere notifiche o eseguire azioni automatizzate sui problemi che influisce sulle risorse.

Creare dashboard personalizzati per la leadership e il giorno dopo giorno

Le organizzazioni che non dispongono di una soluzione SIEM possono usare cartelle di lavoro di Monitoraggio di Azure per Microsoft Entra ID. L'integrazione contiene cartelle di lavoro e modelli predefiniti che consentono di comprendere come gli utenti adottano e usano le funzionalità di Microsoft Entra, che consentono di ottenere informazioni dettagliate su tutte le attività all'interno della directory. È anche possibile creare cartelle di lavoro personalizzate e condividerle con il team di leadership per segnalare le attività quotidiane. Le cartelle di lavoro sono un ottimo modo per monitorare l'azienda e visualizzare tutte le metriche più importanti a colpo d'occhio.

Informazioni sui driver di chiamata di supporto

Quando si implementa una soluzione ibrida di gestione delle identità, come descritto in questo articolo, è consigliabile notare una riduzione delle chiamate di supporto. I problemi comuni, ad esempio le password dimenticate e i blocchi degli account, vengono mitigati implementando la reimpostazione della password self-service di Azure, abilitando al tempo stesso l'accesso self-service alle applicazioni, consentendo agli utenti di individuare e richiedere l'accesso alle applicazioni senza affidarsi al personale IT.

Se non si osserva una riduzione delle chiamate di supporto, è consigliabile analizzare i driver delle chiamate di supporto nel tentativo di confermare se l'accesso con SSPR o l'accesso alle applicazioni self-service è stato configurato correttamente o se sono presenti altri nuovi problemi che possono essere risolti sistematicamente.

"Nel nostro percorso di trasformazione digitale, abbiamo bisogno di un provider affidabile di gestione delle identità e degli accessi per facilitare l'integrazione senza problemi tra noi, partner e provider di servizi cloud, per un ecosistema efficace; Microsoft Entra ID è stata l'opzione migliore che ci offre le funzionalità e la visibilità necessarie che ci hanno consentito di rilevare e rispondere ai rischi." --- Yazan Almasri, Direttore globale della sicurezza delle informazioni, Aramex

Monitorare l'utilizzo delle app per ottenere informazioni dettagliate

Oltre a scoprire Shadow IT, il monitoraggio dell'utilizzo delle app nell'organizzazione tramite Microsoft Defender for Cloud Apps può aiutare l'organizzazione a sfruttare al meglio la promessa di applicazioni cloud. Consente di mantenere il controllo degli asset grazie a una maggiore visibilità delle attività e all'aumento della protezione dei dati critici nelle applicazioni cloud. Il monitoraggio dell'utilizzo delle app nell'organizzazione tramite Defender for Cloud Apps consente di rispondere alle domande seguenti:

• In quali app non approvate vengono usati i dipendenti per archiviare i dati?
• Dove e quando vengono archiviati dati sensibili nel cloud?
• Chi accede ai dati sensibili nel cloud?

"Con Defender for Cloud Apps, è possibile individuare rapidamente le anomalie e intervenire." --- Eric LePenske, Senior Manager, Information Security, Accenture

Riepilogo

Esistono molti aspetti per implementare una soluzione ibrida di gestione delle identità, ma questo elenco di controllo in quattro passaggi consente di eseguire rapidamente un'infrastruttura di identità che consente agli utenti di essere più produttivi e sicuri.

• Connettersi facilmente alle app
• Stabilire automaticamente un'identità per ogni utente
• Abilitare gli utenti in modo sicuro
• Rendere operativi i dati analitici

Speriamo che questo documento sia una roadmap utile per stabilire una solida base di identità per l'organizzazione.

Elenco di controllo delle identità

È consigliabile stampare l'elenco di controllo seguente per riferimento quando si inizia il percorso verso una base di identità più solida nell'organizzazione.

Oggi

Prossime due settimane

Mese successivo

Prossimi tre mesi

Passaggi successivi

Informazioni su come aumentare il comportamento di sicurezza usando le funzionalità di Microsoft Entra ID e questo elenco di controllo in cinque passaggi: cinque passaggi per proteggere l'infrastruttura di gestione delle identità.

Informazioni su come le funzionalità di identità in Microsoft Entra ID consentono di accelerare la transizione alla gestione gestita dal cloud fornendo le soluzioni e le funzionalità che consentono alle organizzazioni di adottare e spostare rapidamente la gestione delle identità dai sistemi locali tradizionali a Microsoft Entra ID - Come Microsoft Entra ID offre la gestione gestita dal cloud per i carichi di lavoro locali.