Azure AD Premium P2: PIM, Identity Protection e Revisioni degli Accessi che Nessuno Ha Attivato

Azure AD Premium P2: PIM, Identity Protection e Revisioni degli Accessi che Nessuno Ha Attivato

Le funzionalità di Azure AD Premium P2 — Privileged Identity Management (PIM), Identity Protection e Access Reviews — sono bloccate dietro la licenza premium di secondo livello di Microsoft, ma il fatto che una licenza P2 sia assegnata a un utente non significa che una delle tre sia effettivamente configurata nel tenant. Microsoft Entra ID P2 (il nome attuale di Azure AD Premium P2) si colloca sopra P1 ed è incluso in Microsoft 365 E5, E7 ed Enterprise Mobility + Security E5. Come prodotto a sé stante, il listino è di 10 $/utente/mese (prezzi di Microsoft Entra). Sulla carta è il livello che ogni tenant attento alla sicurezza dovrebbe avere. Nella pratica, molti tenant lo hanno assegnato ad alcuni o a tutti gli utenti e non usano quasi nulla di ciò che offre realmente.

Questo divario conta perché queste tre funzionalità non sono semplici optional estetici. Sono esattamente ciò che Microsoft blocca dietro lo SKU P2 (Microsoft Entra ID Governance può sostituirne alcune, ma P2 resta il percorso più comune). Se paghi la licenza e nessuna delle tre è configurata, stai pagando per una capacità che non usi, mentre la tua postura reale su accesso privilegiato e rischio resta identica a quella di un tenant P1 — vedi come auditare la sicurezza di Microsoft Entra ID per la base completa in cui si inseriscono i controlli di questo articolo.

Secondo la stessa documentazione di licensing di Microsoft, tre capacità specifiche richiedono P2 (o Entra ID Governance) e sono semplicemente non disponibili — non degradate, non disponibili — al di sotto di quel livello: le policy di Accesso Condizionale basate sul rischio (rischio di accesso e rischio utente), Privileged Identity Management sia per i ruoli Entra che per i ruoli sulle risorse Azure, e l'attuale generazione di Access Reviews (Licensing di Microsoft Entra — Microsoft Learn). Questo articolo illustra come funziona ciascuna di esse, cosa significa "configurato" sulla carta rispetto alla realtà del tenant, e come rilevare e colmare il divario.

Come funziona davvero ogni funzionalità P2

Privileged Identity Management (PIM)

Il modello di PIM distingue tra assegnazione di ruolo "eligible" (idoneo) e "active" (attivo). Un utente reso idoneo per un ruolo — Global Administrator, ad esempio — non detiene alcun privilegio permanente. Per usare il ruolo, deve richiedere un'attivazione, che può richiedere MFA, una giustificazione o l'approvazione di un approvatore designato, e l'assegnazione attiva risultante è limitata nel tempo e scade automaticamente (Microsoft Entra ID Governance — Cos'è PIM). Questo è il modello just-in-time che elimina l'accesso admin permanente come superficie di attacco — vedi Accesso Privilegiato Azure: Troppi Amministratori Globali per capire cosa costa realmente un accesso permanente senza PIM. Gli account di emergenza break-glass sono l'eccezione intenzionale a questo modello e devono restare fuori da PIM — vedi Account di Accesso di Emergenza Break-Glass in Entra ID per come progettarli correttamente.

PIM copre anche i ruoli sulle risorse Azure (Owner, Contributor, ecc. a qualsiasi scope) e PIM per i gruppi, dove l'idoneità all'appartenenza o alla proprietà di un gruppo richiede a sua volta una licenza P2 (o Entra ID Governance) per ogni membro, proprietario, approvatore e revisore idoneo — non solo per gli amministratori. Gli scenari di esempio di Microsoft rendono concreto il calcolo delle licenze: un tenant con 42 amministratori gestiti tramite PIM, più 5 approvatori e 6 revisori coinvolti in revisioni mensili dei privilegi, necessita di 53 licenze, non 42 (Licensing di Microsoft Entra — sezione PIM). I team che stanziano P2 solo per gli account admin sotto-licenziano regolarmente questo aspetto e si ritrovano con approvatori o revisori silenziosamente bloccati.

Identity Protection

Identity Protection valuta il rischio degli accessi e degli utenti utilizzando rilevamenti sia in tempo reale sia offline (post-autenticazione) — credenziali trapelate, indirizzi IP anonimi, spostamenti impossibili, proprietà di accesso insolite e compromissione confermata da threat intelligence, tra gli altri (Tipi e livelli di rilevamento del rischio — Microsoft Learn). I rilevamenti a basso rischio scadono automaticamente dopo sei mesi; quelli a rischio medio e alto persistono finché un amministratore non li corregge o li ignora. Il punteggio di rischio diventa attuabile solo quando è collegato a una policy di Accesso Condizionale sul rischio di accesso o sul rischio utente — senza questa policy, Identity Protection genera un report che nessuno guarda invece di un controllo automatizzato. Vedi Azure Identity Protection: Automatizzare la Risposta alle Credenziali Trapelate per capire come costruire questa policy.

Access Reviews

Access Reviews consente a revisori designati (un manager, un proprietario della risorsa, o gli stessi utenti) di ricertificare periodicamente l'appartenenza ai gruppi, l'accesso alle applicazioni, le assegnazioni di ruoli idonei PIM e l'accesso guest, invece di affidarsi al fatto che qualcuno si ricordi di rimuovere un accesso non più necessario. Il livello di capacità "in precedenza disponibile in generale in Microsoft Entra ID P2" è ciò di cui dispone oggi la maggior parte dei tenant P2 (Licensing di Microsoft Entra — Access reviews). Il licensing segue la popolazione revisionata, non solo il revisore: la revisione di un gruppo di 500 membri con tre proprietari del gruppo come revisori richiede 503 licenze nell'esempio calcolato da Microsoft — anche i membri revisionati devono avere copertura, non solo le persone che effettuano la revisione.

Rilevamento: stai davvero usando quello che paghi?

L'assegnazione della licenza e la configurazione della funzionalità sono due domande diverse, e l'admin center di Entra rende facile confermare la prima senza mai verificare la seconda. Ecco cosa controllare per ciascuna.

Get-MgRoleManagementDirectoryRoleEligibilitySchedule (Microsoft Graph PowerShell SDK) restituisce ogni assegnazione idonea PIM nel tenant, separatamente da Get-MgRoleManagementDirectoryRoleAssignmentSchedule per quelle attive/permanenti — confrontare le due liste è il modo più rapido per vedere quanti ruoli privilegiati passano davvero attraverso PIM invece di restare concessioni permanenti (Riferimento Microsoft Graph PowerShell).

Remediation: attivare ciò che già possiedi

1. Migrare le assegnazioni privilegiate permanenti a PIM idoneo. In ID Governance → Privileged Identity Management → Ruoli Microsoft Entra, rivedi ogni assegnazione attiva. Per i ruoli che non necessitano di accesso permanente, rimuovi l'assegnazione permanente e creane una idonea con una durata di attivazione, un requisito MFA e (per Global Administrator e ruoli similmente sensibili) un'approvazione.
2. Attivare l'Accesso Condizionale basato sul rischio. Crea una policy sul rischio di accesso (ad esempio, richiedere MFA a rischio medio) e una policy sul rischio utente (ad esempio, richiedere un cambio password sicuro a rischio alto) in Protection → Accesso Condizionale. Senza questo passaggio, Identity Protection resta una dashboard, non un controllo.
3. Attivare le notifiche per gli utenti a rischio. Configura il digest settimanale e gli avvisi per gli utenti a rischio nelle impostazioni di Identity Protection, così il rischio non è qualcosa che un amministratore deve ricordarsi di controllare.
4. Attivare le revisioni di accesso partendo dagli ambiti a maggior valore: le assegnazioni di ruoli idonei PIM, i gruppi annidati in ruoli privilegiati e l'accesso guest — vedi Account Guest Azure: la Superficie di Attacco Dimenticata per capire perché gli account guest obsoleti sono di solito i peggiori colpevoli. Imposta una cadenza ricorrente (trimestrale è un default ragionevole) e assegna proprietari delle risorse o manager come revisori invece di un unico amministratore centrale che non avrà il contesto per ogni gruppo.
5. Riverificare il calcolo delle licenze prima di scalare. PIM per i gruppi e Access Reviews richiedono entrambi una licenza P2 (o Governance) per ogni membro, approvatore e revisore idoneo — non solo per gli amministratori target. Sotto-licenziare questo aspetto fa sì che lo strumento smetta silenziosamente di coprire persone che dovrebbe coprire.
6. Verificare rispetto a un benchmark. Le raccomandazioni del CIS Microsoft 365 Foundations Benchmark per PIM e le revisioni di accesso offrono una soglia concreta e verificabile — utile sia per confermare di aver colmato il divario sia per giustificare la spesa P2 a chi l'ha approvata.

🚨 Pericolo: se una licenza P2 (o Governance) scade o viene rimossa, PIM non si limita a smettere di applicare i controlli — Microsoft documenta esplicitamente che le assegnazioni di ruoli Entra idonei vengono rimosse, che qualsiasi revisione di accesso in corso sui ruoli Entra termina, e che le impostazioni di configurazione di PIM vengono eliminate (Licensing di Microsoft Entra — scadenza della licenza PIM). Le assegnazioni di ruoli permanenti non sono interessate da questo, il che spiega esattamente perché affidarsi a PIM senza mantenere aggiornata la copertura delle licenze dà un falso senso di sicurezza.

Come EtcSec rileva questo problema

L'audit Azure di EtcSec verifica AZ_NO_P2_LICENSE (P2 presente nel tenant ma con le sue funzionalità distintive inutilizzate), AZ_P2_NOT_FULLY_UTILIZED, PA_PIM_NOT_ENABLED e PA_PERMANENT_ADMIN_ASSIGNMENTS per segnalare ruoli privilegiati mantenuti fuori da PIM, RISK_NO_SIGNIN_RISK_POLICY per rilevare Identity Protection in funzione senza una policy di Accesso Condizionale che la applichi, e AZ_ACCESS_REVIEWS_NOT_CONFIGURED per segnalare tenant privi di copertura di revisione degli accessi ricorrente su ruoli privilegiati o accesso guest.