Come configurare l’SSO con Azure AD per le applicazioni line-of-business

L’SSO tramite Azure AD (oggi chiamato Microsoft Entra ID) consente agli utenti di accedere una sola volta con le proprie credenziali Azure AD per utilizzare le applicazioni interne e line-of-business (LOB). In questo modo non è più necessario ricordare più nomi utente né ripetere continuamente l’accesso. Il risultato è un’esperienza dell’utente migliore, insieme a una maggiore sicurezza e a un controllo degli accessi più efficace negli ambienti ibridi e cloud.

Azure SSO supporta un’ampia gamma di tipologie di applicazioni, inclusi i sistemi moderni e quelli legacy. Tra gli scenari più comuni per le applicazioni LOB rientrano:

• Applicazioni web interne (ospitate su IIS, basate su .NET)
• Applicazioni SaaS personalizzate
• Applicazioni on-premise esposte tramite Azure AD Application Proxy
• Applicazioni legacy che richiedono un SSO basato su header o su form

Questa guida ti accompagna nei passaggi per configurare l’SSO di Azure per queste applicazioni.

Passaggi per gestire l’SSO con Azure AD per le applicazioni line-of-business (LOB)

Per evitare problemi durante la configurazione e assicurarti che tutto proceda senza intoppi, verifica che i requisiti seguenti siano soddisfatti prima di iniziare:

📌 Prerequisiti generali:

• Un tenant Azure AD con licenza Premium P1 (necessaria per Application Proxy o per l’accesso condizionale)
• Un’applicazione LOB ospitata on-premise o in Azure
• Endpoint aggiunti al dominio o ad Azure AD
• Accesso amministrativo al portale di Azure e al server dell’applicazione

Passaggio 1: registra l’applicazione LOB in Azure AD

Questo passaggio crea un’identità per la tua applicazione in Azure AD, così da poterla gestire in modo sicuro. Una volta registrata, Azure AD riconosce l’applicazione e può rilasciarle i token.

1. Apri il portale di Azure.
2. Vai su Azure Active Directory > App registrations > New registration.
3. Inserisci un nome per l’applicazione.
4. Imposta il Redirect URI (ad esempio https://app.domain.com/auth/callback) (leggi il punto 1 in ⚠️ Aspetti a cui prestare attenzione.)
5. Fai clic su Register.
6. Dopo la registrazione:
   • Copia l’Application (client) ID.
   • In Authentication, scegli la piattaforma e inserisci il tuo redirect URI.
   • In API permissions, aggiungi le autorizzazioni di Microsoft Graph: openid, profile ed email.

💡 Che cos’è un’applicazione LOB in Azure?

Un’applicazione line-of-business (LOB) è un’applicazione personalizzata o interna, creata appositamente per le esigenze di un’azienda. Spesso viene sviluppata internamente e non viene resa pubblica.

Passaggio 2: configura le opzioni SSO in base al tipo di applicazione

Ogni applicazione supporta un metodo di autenticazione diverso (SAML, OAuth2 o OIDC). Con questo passaggio indichi ad Azure AD quale utilizzare, così gli utenti potranno accedere senza problemi.

Per le applicazioni moderne (OIDC o SAML)

1. Vai su Azure Active Directory > Enterprise Applications > [la tua applicazione] > Single sign-on.
2. Scegli:
   • SAML per le applicazioni che supportano SAML 2.0
   • OIDC (OpenID Connect) per le applicazioni sviluppate con provider di identità moderni
3. Configura i campi richiesti:
   • Identifier (Entity ID)
   • Reply URL (Assertion Consumer Service)
   • Sign-on URL

(Leggi il punto 2 in ⚠️ Aspetti a cui prestare attenzione.)

4. Assegna utenti o gruppi nella scheda Users and Groups.

Per le applicazioni legacy o basate su header

Utilizza Azure AD Application Proxy con la pre-autenticazione (vedi il passaggio 3).

💡 Che cos’è l’SSO in Azure?

Il Single Sign-On (SSO) in Azure è una caratteristica che permette agli utenti di accedere a più applicazioni con un unico login. Semplifica l’autenticazione e rafforza la sicurezza centralizzando la gestione delle identità.

Passaggio 3: configura Azure AD Application Proxy (per le applicazioni on-premise)

Se la tua applicazione è ospitata on-premise, Azure AD non può raggiungerla direttamente. Application Proxy funziona come un tunnel sicuro tra Azure e la tua rete interna. (Leggi il punto 3 in ⚠️ Aspetti a cui prestare attenzione.)

📌 Prerequisiti:

• Un server Windows Server 2016 o versione successiva all’interno della rete
• Application Proxy Connector installato su quel server

Istruzioni:

1. Scarica o installa l’Application Proxy Connector da Azure.
2. Accedi con un account Azure AD Global Admin.
3. Nel portale di Azure, vai su Azure AD > Enterprise Applications > + Add > On-premises application.
4. Inserisci:
   • Internal URL – http://internalapp.local
   • External URL – https://app-tenant.msappproxy.net
   • Abilita la Preauthentication tramite Azure AD

Verifica la connessione

1. Premi Win + R, digita cmd e premi Invio per aprire il Prompt dei comandi.
2. Esegui: netstat -ano | findstr :443

Passaggio 4: configura il comportamento dei token SSO sui dispositivi client

I dispositivi client devono sapere come gestire i token SSO (come richiederli, archiviarli e aggiornarli) quando serve. Usa questo passaggio per configurare il comportamento dei token SSO sui dispositivi client.

Abilita Seamless SSO e Pass-through Authentication

1. Configura Azure AD Connect, abilita il Seamless SSO e, se vuoi, la Pass-through Authentication (PTA).
2. Verifica la configurazione in PowerShell: Get-AzureADSSOStatus

Verifica nel registro di sistema (cache dei token SSO lato client)

1. Controlla le impostazioni dei token in:

HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity

Chiavi come EnableADAL o Version possono influire sul comportamento dell’autenticazione moderna nelle applicazioni integrate con Office.

Verifica da CMD (presenza del token)

1. Per ispezionare o reimpostare i ticket Kerberos, esegui: klist

Usa klist purge per eliminare i vecchi ticket Kerberos in caso di problemi.

Passaggio 5: applica le policy tramite GPO

Per garantire coerenza su tutti i dispositivi, usa i criteri di gruppo per controllare il comportamento di Kerberos, la durata dei token e la compatibilità dei browser. (Leggi il punto 4 in ⚠️ Aspetti a cui prestare attenzione.)

Configura le policy di Kerberos

1. Premi Win + R, digita gpedit.msc e premi Invio per avviare l’Editor Criteri di gruppo locali.
2. Vai su:

Configurazione del computer > Modelli amministrativi > Sistema > Kerberos

📌 Assicurati che la sincronizzazione dell’ora e le impostazioni di Kerberos siano allineate alle tue policy di autenticazione.

Per le applicazioni basate su browser (SSO tramite browser)

1. Vai su:

Configurazione utente > Modelli amministrativi > Componenti di Windows > Internet Explorer > Pannello di controllo Internet > Pagina Sicurezza > Area Intranet locale

2. Aggiungi l’URL dell’applicazione ai siti attendibili con PowerShell:

Set-ItemProperty -Path “HKCU:\Software\Microsoft\Windows\
CurrentVersion\Internet Settings\ZoneMap\Domains\app.domain.com” -Name https -Value 1

3. Usa i modelli di policy dei browser per applicare l’SSO in Edge o Chrome.

Passaggio 6: automatizza l’accesso e la convalida dei token con PowerShell

PowerShell è lo strumento che ti serve per convalidare i token, automatizzare gli accessi e verificare che la configurazione funzioni come previsto.

📌 Prerequisiti:

• PowerShell installato
• Accesso alle API di Microsoft Graph (facoltativo per l’automazione)

Istruzioni:

1. Premi Win + S, cerca PowerShell e seleziona Windows PowerShell tra i risultati.
2. Esegui questo script per richiedere manualmente un token: (leggi il punto 5 in ⚠️ Aspetti a cui prestare attenzione.)

Questo conferma che la comunicazione tra applicazioni e l’accesso tramite account di servizio funzionano correttamente.

⚠️ Aspetti a cui prestare attenzione

Considerazioni aggiuntive

Puoi prendere in considerazione questi consigli per rafforzare, proteggere e mantenere la tua configurazione SSO con Azure AD per le applicazioni LOB:

Applica MFA e device trust (accesso condizionale)

Usa l’accesso condizionale per richiedere la Multi-Factor Authentication (MFA) e consentire l’accesso solo da dispositivi attendibili o conformi. In questo modo aggiungi un ulteriore livello di sicurezza e contribuisci a prevenire gli accessi non autorizzati, anche in caso di furto di credenziali o token.

💡 Consiglio: leggi Come configurare le policy di accesso condizionale in Azure AD.

Controlla le autorizzazioni con i ruoli applicativi

Invece di concedere a tutti lo stesso livello di accesso, usa i ruoli applicativi per definire cosa possono fare gli utenti all’interno dell’applicazione LOB. Assegna ruoli come Admin, Editor o Viewer per applicare il principio del privilegio minimo e ridurre i rischi per la sicurezza.

Monitora lo stato dell’SSO

Usa i log di accesso di Azure AD per monitorare chi ha avuto accesso a quale applicazione e quando, i tassi di successo e di errore degli accessi e dell’MFA e gli eventuali problemi di sicurezza. Tutto questo ti aiuta negli audit, nella risoluzione dei problemi e nel soddisfare i requisiti di conformità.

Applica la compatibilità SSO tramite Intune

Se usi Microsoft Intune per gestire i dispositivi, distribuisci profili di configurazione per applicare le impostazioni del browser, le policy specifiche delle applicazioni e le regole di conformità dei dispositivi. Così mantieni un’esperienza SSO fluida e coerente su tutti i dispositivi registrati.

Risoluzione dei problemi

Ecco i problemi più comuni che puoi incontrare quando configuri l’SSO con Azure AD per le applicazioni LOB, con le relative cause e le soluzioni:

I servizi di NinjaOne

NinjaOne supporta la distribuzione e il monitoraggio dell’SSO negli ambienti dei clienti grazie a:

Convalida da remoto

Esecuzione da remoto di script PowerShell per verificare la presenza della cache dei token, le chiavi di registro e l’accesso alla rete.

Distribuzione delle policy

Applicazione di configurazioni equivalenti alle GPO per imporre la compatibilità dei browser e le impostazioni di autenticazione Kerberos.

Avvisi sull’SSO

Avvisi in caso di modifiche allo stato dei dispositivi o delle applicazioni legate all’SSO o alla scadenza dei token.

Assegnazione di tag per l’SSO

Assegnazione di tag a dispositivi e utenti in base allo stato della configurazione SSO, per supportare gli audit, il monitoraggio della conformità e la visibilità sullo stato dell’ambiente.

Correzione automatica

Automazione della correzione delle policy sugli endpoint che non superano i controlli preliminari dell’SSO.

Questi strumenti consentono agli MSP di offrire esperienze SSO sicure e coerenti su tutti i parchi dispositivi dei clienti, riducendo al tempo stesso il carico operativo.

💡 Consiglio: leggi anche Abilitare l’SSO.

Configura l’SSO con Azure AD per le applicazioni LOB per semplificare gli accessi e rafforzare la sicurezza

L’SSO con Azure AD aiuta le organizzazioni a modernizzare il controllo degli accessi, semplificando al contempo l’esperienza dell’utente per le applicazioni interne e LOB. Azure AD supporta sia le applicazioni cloud moderne sia i servizi web on-premise più datati, offrendoti la flessibilità necessaria per proteggere qualsiasi cosa richieda il tuo ambiente.

Questa guida ha coperto tutto ciò che ti serve per iniziare: dalla registrazione dell’applicazione in Azure AD alla configurazione dell’autenticazione tramite SAML, OIDC o proxy, fino all’ottimizzazione delle impostazioni client con i criteri di gruppo, PowerShell e le modifiche al registro di sistema. Ha inoltre mostrato come NinjaOne rafforza e monitora gli ambienti SSO per gli MSP.

Argomenti correlati:

• SAML e SSO: quali sono le differenze?
• Azure AD Connect: che cos’è e come configurarlo
• Integrare on-premise e cloud con Microsoft Entra Hybrid Join
• Integrare on-premise e cloud con Hybrid Azure AD Join
• Autenticazione di Active Directory: panoramica completa
• Integrazione di SSO e SCIM in NinjaOne
• Quanto costa un software SSO? Tariffe dell’SSO