{"id":51813,"date":"2020-10-24T06:00:49","date_gmt":"2020-10-24T04:00:49","guid":{"rendered":"http:\/\/smeupnew.it\/magazine\/blog\/azure-active-directory\/"},"modified":"2025-08-05T17:51:12","modified_gmt":"2025-08-05T15:51:12","slug":"azure-active-directory","status":"publish","type":"post","link":"https:\/\/www.smeup.com\/magazine\/blog\/azure-active-directory\/","title":{"rendered":"Da Active Directory ad Azure AD: Gestiamo la coesistenza per governare il cambiamento"},"content":{"rendered":"

Penso sia stato uno dei pochi eventi ufficiali di Microsoft a Vicenza, la citt\u00e0 in cui vivo, ma l\u2019importanza del lancio di Windows 2000 Server e del suo servizio principale, l\u2019Active Directory, giustificava la presenza di Microsoft in piazze \u201cminori\u201d. Da subito capii l\u2019importanza che avrebbe assunto l\u2019Active Directory<\/strong> in tutte le organizzazioni e iniziai a formarmi in tal senso, accettando di buon grado gli \u201csfott\u00f2\u201d dei colleghi estimatori di \u201cNovell Directory Services\u201d.<\/span><\/p>\n

Non si contano i domini Windows NT4 che, nei successivi 3, 4 anni, migrai verso Active Directory. Le aziende impiegarono alcuni anni per prendere coscienza dei benefici offerti da Active Directory, ma oggi, quante sono le aziende che non la utilizzano?<\/span><\/p>\n

Grazie ad essa si superarono i confini dei domini NT4, molto limitati a causa dei vincoli tecnici della <\/span>replica a Master Singolo<\/span><\/a> e questa esigenza di \u201callargamento dei confini\u201d la vedo ripetersi oggi; la \u201cgovernance<\/strong>\u201d che le organizzazioni esercitano all\u2019interno della propria foresta (o foreste) AD, vogliono esercitarla quando dispositivi e utenti si collegano da reti meno sicure: internet.<\/span><\/p>\n

I miglioramenti in termini di sicurezza, efficienza e flessibilit\u00e0 del lavoro sono di immediata percezione, ma lo \u00e8 anche la complessit\u00e0 dell\u2019architettura che il personale IT deve gestire.<\/span><\/p>\n

Corretto, ma da dove cominciamo?<\/h2>\n

A mio avviso ci sono delle regole, meglio, dei \u201ccomandamenti\u201d, ai quali bisogna attenersi.<\/span><\/p>\n

Centralizzazione delle identit\u00e0<\/span><\/em>:<\/em> <\/span>
\n<\/span>gli \u201coggetti\u201d della mia organizzazione devono essere gestiti da un solo punto.<\/span><\/p>\n

Identificazione inequivocabile<\/span><\/em>:<\/em> <\/span>
\n<\/span>ogni accesso alle risorse aziendali deve essere identificato con certezza.<\/span><\/p>\n

Iniziamo dalla centralizzazione delle identit\u00e0. Facile. Questo problema lo abbiamo gi\u00e0 risolto adottando l\u2019Active Directory, ma, purtroppo, la nostra Active Directory non si estende al di fuori della rete locale. Tuttavia, \u00e8 possibile \u201creplicare<\/strong>\u201d una parte della nostra AD e renderla accessibile dall\u2019esterno, in sicurezza, mettendo a disposizione un servizio di autenticazione e di autorizzazione con \u201cWeb Based Protocols\u201d quali SAML, OAuth+OID Connect. Il servizio di directory disponibile sul web si chiama Azure Active Directory (AAD).<\/span><\/p>\n

Questo permette di identificare inequivocabilmente<\/strong> l\u2019utente. Ma come posso identificare il dispositivo?<\/span><\/p>\n

Semplice. (Beh! non proprio \ud83d\ude42 ) Con lo stesso strumento con cui sincronizziamo gli utenti, sincronizziamo i computer (alias Dispositivi) e, cos\u00ec come effettuiamo il join dei dispositivi ad Active Directory on-prems, effettuiamo il join degli stessi ad Azure AD. Questo \u201cdoppio join\u201d prende il nome di Azure AD Hybrid Join.<\/span><\/p>\n

Da qui possiamo partire per superare tutti i confini e accedere alle opportunit\u00e0 offerte da cloud, anzi dal MultiCloud. La gestione centralizzata continuiamo a farla con i cari, vecchi, Active Directory Domain Services (ADDS).<\/span><\/p>\n

Parliamo di sicurezza<\/h2>\n

La sicurezza<\/strong> \u00e8 un argomento troppo vasto, ma voglio spendere due parole su un paio di strumenti per aumentarne il livello.<\/span><\/p>\n

Sappiamo identificare l\u2019utente e il dispositivo dal quale si collega, ma questo non \u00e8 sufficiente a garantire la tranquillit\u00e0 della connessione. Vogliamo avere la certezza che la persona sia realmente chi dice di essere e che il dispositivo sia conforme alle nostre politiche di sicurezza.<\/span><\/p>\n

MultiFactor Authentication (MFA)<\/em><\/h3>\n

La garanzia sulla persona si ottiene chiedendo una conferma con un secondo fattore di autenticazione<\/strong> (ad esempio un codice inviato via SMS o una richiesta di conferma al dispositivo mobile). Uno <\/span>studio di Microsoft<\/span><\/a> mostra che la possibilit\u00e0 di compromissione delle credenziali si riduce del 99,9% in presenza di MFA.<\/span><\/p>\n

Conditional Access<\/em><\/h3>\n

Basandosi su alcuni segnali che arrivano dalla richiesta di connessione alla risorsa (ad esempio la rete sorgente, il dispositivo, la presenza di un antivirus aggiornato o altro) possiamo prendere una decisione (ad esempio bloccare l\u2019accesso, richiedere la MFA o limitare le funzionalit\u00e0 dell\u2019applicazione)<\/span><\/p>\n

Queste due funzionalit\u00e0 sono offerte dalle versioni <\/span>premium di Azure AD<\/span><\/a>. La MFA per le applicazioni della suite Microsoft 365 sono disponibili anche in <\/span>Azure AD per Office 365<\/span><\/a>.<\/span><\/p>\n

Mi avete convinto, iniziamo<\/h2>\n

Tutte le foreste ADDS che migrai da Windows NT sono ancora operative o, sono state consolidate in altre foreste ADDS. I tecnici delle organizzazioni per le quali abbiamo lavorato sanno che il mio approccio ad una Active Directory che presenta errori o progettata male \u00e8 sempre quello di preservare e correggere.<\/span><\/p>\n

La stessa lunga vita va assicurata in questa fase di estensione al cloud. Bisogna quindi considerare questi aspetti:<\/span><\/p>\n