Punti chiave
Come costruire un modello di accesso delegato pulito per la gestione dei tenant dei clienti
- Microsoft ha deprecato DAP a favore di GDAP, permettendo agli MSP di adottare un accesso a privilegio minimo e limitato nel tempo, in linea con i principi zero trust.
- Usa Microsoft 365 Lighthouse per centralizzare la gestione di GDAP su tutti i tenant e ridurre il lavoro manuale.
- Applica ruoli predefiniti o personalizzati in Entra ID per imporre un controllo degli accessi basato sui ruoli (RBAC) a privilegio minimo ed evitare un uso superfluo degli account di amministratore globale.
- Distribuisci template GDAP con criteri di scadenza per standardizzare la durata degli accessi e ridurre le sessioni con privilegi elevati di lunga durata.
- Automatizza monitoraggio e governance con l’API Microsoft Graph, PowerShell o strumenti RMM integrati per mantenere visibilità e conformità.
- Esegui audit regolari degli accessi GDAP durante le revisioni trimestrali delle attività (QBR) per rimuovere i privilegi obsoleti e confermare la pertinenza dei ruoli.
Questa guida spiega come costruire un modello di accesso delegato pulito per la gestione dei tenant dei clienti. Configurare i privilegi amministrativi delegati granulari (GDAP) in Microsoft 365 è una necessità per i team IT e i managed service provider (MSP) che gestiscono più tenant. GDAP aiuta a ridurre i rischi dei vecchi privilegi amministrativi delegati (DAP) perché evita l’accesso indiscriminato come amministratore globale ai tenant dei clienti e adotta invece un accesso con privilegio minimo, in linea con le best practice zero trust.
Questa guida illustra l’accesso privilegiato ai tenant con DAP e GDAP per i Microsoft Partner che gestiscono distribuzioni di Microsoft 365 per conto dei propri clienti MSP e propone un framework pratico e ripetibile per implementare GDAP su più tenant.
DAP e GDAP: come funziona l’accesso delegato
DAP era il meccanismo con cui i Microsoft Partner gestivano i tenant dei clienti dai propri account. Prevedeva la possibilità di concedere privilegi completi di amministratore globale sul tenant del cliente, senza scadenza. Un approccio esposto ad abusi e quindi problematico dal punto di vista della cybersecurity.
Dal 2023 Microsoft ha dismesso DAP a favore di GDAP, che offre agli MSP un accesso granulare e limitato nel tempo agli ambienti dei clienti, approvato esplicitamente dal cliente stesso. Il cliente riceve dal partner una richiesta di accesso delegato a ruoli specifici per una durata definita e può approvarla o rifiutarla.
Prerequisiti per i Microsoft Partner che passano da DAP a GDAP
Per iniziare a usare GDAP e accedere ai tenant Microsoft 365 dei clienti ti servono i seguenti elementi:
- Accesso amministrativo al Partner Center
- Microsoft 365 Lighthouse configurato per la gestione centralizzata di GDAP (anche il Partner Center lo consente, ma diventa poco pratico con distribuzioni più ampie)
- Buona conoscenza di Entra ID (in precedenza Azure AD) e dell’accesso condizionale
- Facoltativamente, accesso a PowerShell e/o all’API Microsoft Graph per l’automazione
Il passaggio da DAP a GDAP
DAP è stato dismesso e non è più possibile creare nuove relazioni DAP: GDAP è ormai l’unica opzione. A questo punto, gli MSP con clienti già attivi che richiedono l’accesso delegato ai propri tenant avranno già effettuato la migrazione da DAP a GDAP.
Come costruire il tuo modello di accesso GDAP
Un modello di accesso delegato granulare e ben strutturato riduce l’esposizione alle minacce informatiche perché si basa sui principi zero trust e dimostra ai clienti consapevolezza in materia di sicurezza e maturità operativa.
Per ottenerlo devi stabilire quali attività devi svolgere per conto dei clienti e definire ruoli delegati a tempo con le autorizzazioni appropriate. Questi ruoli devono essere limitati al privilegio minimo possibile e, quando vengono concessi, avere una durata ragionevole: sufficiente per completare il lavoro necessario senza lasciare attive sessioni con privilegi elevati per lunghi periodi.
I ruoli devono inoltre indicare chiaramente a cosa servono, così che il cliente capisca esattamente quali autorizzazioni sta concedendo quando riceve la richiesta.
Applica i controlli degli accessi basati sui ruoli (RBAC)
Quando possibile, usa i ruoli predefiniti di Entra ID; gli utenti avanzati con esigenze più complesse potrebbero invece dover definire ruoli personalizzati più granulari per un RBAC basato sul privilegio minimo. Per sfruttare appieno i vantaggi di GDAP, evita un uso eccessivo degli account di amministratore globale o equivalenti e assegna i ruoli con Lighthouse in base ai gruppi dei team di supporto lato partner.
Delega con template e criteri di scadenza
Definisci in anticipo la durata prevista delle sessioni delegate e usa i template GDAP in Lighthouse per standardizzare le configurazioni di accesso. Puoi applicare scadenze più lunghe per determinate attività (ad esempio 90 giorni per attività delegate di lungo periodo come la gestione dei dati utente) e usare flussi di lavoro con accesso just-in-time per le emergenze che richiedono privilegi più sensibili.
Automatizza monitoraggio e governance
Mantieni il controllo su tutte le richieste e le sessioni di accesso delegato esportando questi dati in CSV con Microsoft Graph o PowerShell. Puoi poi creare viste dashboard per tutti i tuoi tenant e i ruoli delegati, comprese autorizzazioni e date. Da questi dati puoi anche generare avvisi automatici, così da ricevere una notifica quando un collegamento GDAP sta per scadere e deve essere rinnovato.
Questo tipo di automazioni personalizzate si può realizzare con uno strumento di monitoraggio e gestione da remoto (RMM) che si integra con Microsoft 365 e supporta script, dashboard e notifiche personalizzati.
Rivedi e controlla regolarmente il tuo modello di accesso delegato
Rivedi con regolarità il tuo modello GDAP, verificando per ogni ruolo o relazione delegata che:
- il ruolo o la relazione sia ancora in uso
- ogni ruolo sia allineato all’ambito di lavoro attuale
- ciascuno sia documentato e rivisto dagli stakeholder competenti
Le relazioni inutilizzate o obsolete vanno rimosse in modo proattivo. La revisione della strategia GDAP può rientrare nelle revisioni trimestrali delle attività (QBR) che il tuo MSP svolge con i clienti.
Mantenere la visibilità sull’accesso delegato GDAP con NinjaOne
Proteggere gli ambienti multi-tenant richiede una supervisione completa di tutti i privilegi delegati e la garanzia che l’accesso delegato non diventi un vettore di attacco. Il modo migliore per farlo è usare autorizzazioni granulari e circoscritte, basate sul principio del privilegio minimo, unite a limiti temporali.
NinjaOne aiuta gli MSP a garantire sicurezza e visibilità sull’accesso delegato grazie ai suoi strumenti di monitoraggio e reporting, inclusi nella piattaforma unificata di RMM, gestione dei dispositivi mobili (MDM) e gestione degli endpoint. Puoi monitorare le azioni dei delegati, applicare criteri e, se vuoi, integrare soluzioni di endpoint detection come CrowdStrike per il rilevamento avanzato delle minacce basato sull’IA e la relativa remediation in caso di attività sospette.
Adottando un approccio ragionato e strutturato all’accesso delegato in Microsoft 365, puoi mantenere e rafforzare la fiducia dei clienti e assicurarti che le sessioni amministrative vengano usate solo per lo scopo previsto
