Microsoft AZ-900: Identità, Accesso e Sicurezza — Guida allo studio

By Laurynas Brazys · 23 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

Fa parte della Microsoft Azure AZ-900 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

L’identità, l’accesso e la sicurezza in Azure si basano su Microsoft Entra ID per la gestione delle identità, su Azure RBAC e Privileged Identity Management per l’autorizzazione e su controlli di piattaforma che proteggono i segreti e rafforzano i carichi di lavoro. L’autenticazione avanzata e i criteri basati sul rischio riducono l’acquisizione di account, mentre l’archiviazione centralizzata dei segreti e le protezioni perimetrali della rete chiudono i percorsi di attacco comuni. La gestione continua della postura di sicurezza guida quindi la correzione delle configurazioni errate su larga scala. Un design coeso collega questi elementi: identità autorevoli sincronizzate dall’ambiente on-premise o gestite nativamente nel cloud; criteri di accesso applicabili legati al rischio del dispositivo e della sessione; ruoli con privilegi minimi e con elevazione just-in-time; segreti e chiavi isolati dal codice dell’applicazione; e difese a più livelli che includono firewall applicativi, mitigazione DDoS e raccomandazioni basate sulle minacce. Il risultato è un ambiente difendibile e verificabile, allineato alle esigenze aziendali e normative.

Microsoft Entra ID: utenti, gruppi e sincronizzazione ibrida

Microsoft Entra ID è il servizio di identità cloud per utenti, dispositivi, applicazioni ed entità servizio. Gli utenti possono essere solo cloud o sincronizzati da directory on-premise. I gruppi organizzano l’accesso, con supporto per gruppi di sicurezza e gruppi di Microsoft 365. L’appartenenza a gruppi dinamici semplifica il ciclo di vita popolando automaticamente i gruppi in base agli attributi dell’utente o del dispositivo (ad esempio, tutti gli utenti del dipartimento = Finanza), consentendo una definizione pulita dell’ambito per l’accesso alle app e per i criteri, senza aggiornamenti manuali. Le organizzazioni ibride collegano il loro Active Directory on-premise utilizzando Microsoft Entra Connect. La sincronizzazione dell’hash delle password (Password hash synchronization) è il metodo di accesso più semplice e resiliente, fornendo l’autenticazione cloud con hash derivati on-premise e sincronizzati a intervalli pianificati. L’autenticazione pass-through (Pass-through authentication) mantiene la convalida delle password on-premise tramite agenti leggeri quando vincoli normativi o di policy lo richiedono, e può essere abbinata al Seamless SSO per le esperienze intranet. Per ambienti estesi o distribuiti, Microsoft Entra Cloud Sync offre un approccio leggero basato su agenti con supporto multi-foresta e operazioni semplificate. Le licenze basate su gruppi, le assegnazioni di app e le assegnazioni di ruoli si basano su queste primitive. Gli utenti esterni possono essere invitati utilizzando l’accesso tra tenant (collaborazione B2B), applicando al contempo l’Accesso Condizionale, le revisioni di accesso e i criteri del ciclo di vita per ridurre il rischio derivante da guest inattivi. I log di accesso, di controllo e di provisioning forniscono tracciabilità e sono esportabili in un’area di lavoro Log Analytics o in un SIEM per la conservazione e l’analisi.

Segreti, chiavi e certificati con Azure Key Vault

Azure Key Vault centralizza l’archiviazione di segreti applicativi, certificati e chiavi crittografiche per rimuovere le credenziali dal codice e dai template. I segreti, come le stringhe di connessione e le chiavi API, vengono recuperati tramite TLS utilizzando gli SDK di Azure o REST, mentre i certificati supportano l’importazione, la generazione e il rinnovo automatico tramite autorità di certificazione integrate. Le chiavi abilitano la crittografia a riposo (encryption-at-rest) e le operazioni crittografiche, inclusa la crittografia envelope per i dati applicativi e le chiavi gestite dal cliente (CMK) per servizi come Azure Storage, SQL Database e Disk Encryption Sets. L’accesso a Key Vault è gestito su due piani. Il piano di gestione (management plane) utilizza Azure RBAC per controllare chi può configurare il vault. Il piano dati (data plane) può utilizzare il moderno Azure RBAC per Key Vault o le policy di accesso legacy; le nuove implementazioni dovrebbero preferire Azure RBAC per coerenza e auditing. La cancellazione temporanea (soft delete) e la protezione dall’eliminazione definitiva (purge protection) sono abilitate per impostazione predefinita per prevenire la perdita accidentale o malevola, e gli endpoint privati con regole firewall limitano l’accesso di rete. Le identità gestite (managed identities) per le risorse Azure eliminano le credenziali incorporate, concedendo ai carichi di lavoro un accesso ai segreti basato sull’identità. Per una maggiore garanzia, Azure Key Vault Managed HSM fornisce HSM single-tenant, convalidati FIPS 140-2 Livello 3, per operazioni con le chiavi, con capacità dedicata e una rigida separazione dei ruoli. L’igiene operativa (operational hygiene) include il versionamento dei segreti, le policy di rotazione, la rotazione automatica dei certificati e l’esportazione dei log di diagnostica verso un SIEM. Assegna ruoli del piano dati con privilegi minimi, come Key Vault Secrets User o Key Vault Crypto Officer, per minimizzare il raggio d’impatto (blast radius).

• Uso primario
  • Key Vault (multi-tenant): Segreti, certificati, chiavi per la maggior parte delle app
  • Managed HSM: Solo operazioni con chiavi ad alta garanzia
• Isolamento
  • Key Vault (multi-tenant): Servizio multi-tenant
  • Managed HSM: Single-tenant, HSM dedicati
• Livello FIPS
  • Key Vault (multi-tenant): 140-2 Livello 2 (perimetro del servizio)
  • Managed HSM: 140-2 Livello 3
• Modello del piano dati
  • Key Vault (multi-tenant): Azure RBAC o policy di accesso
  • Managed HSM: Modello di ruoli simile a RBAC, specifico per HSM
• Integrazioni comuni
  • Key Vault (multi-tenant): App Service, AKS, Storage CMK, SQL TDE, Disk Encryption Sets
  • Managed HSM: Pagamenti, crittografia regolamentata, firma con controlli rigidi

Posture di sicurezza, Defender for Cloud, Secure Score, WAF e protezioni DDoS

Microsoft Defender for Cloud offre funzionalità di gestione della posture di sicurezza del cloud (CSPM) e protezione dei carichi di lavoro (workload protection) su Azure, in ambienti multicloud e ibridi. Valuta continuamente le risorse rispetto agli standard di sicurezza, genera un Secure Score con raccomandazioni prioritizzate e utilizza Azure Policy per la governance su larga scala. L’abilitazione dei piani Defender aggiunge il rilevamento delle minacce e protezioni per server, container, database, storage, Key Vault e servizi PaaS, includendo EDR basato su agent su server e rilevamento delle minacce per Kubernetes. La dashboard di conformità normativa (Regulatory Compliance) mappa i controlli su framework come ISO 27001, NIST e CIS, accelerando gli audit. Sul perimetro della rete e delle applicazioni, Azure fornisce una mitigazione DDoS nativa e un web application firewall (WAF). DDoS Protection viene abilitato per ogni rete virtuale, profila automaticamente il traffico normale e mitiga gli attacchi volumetrici e di protocollo contro gli IP pubblici. La SKU IP Protection è conveniente per infrastrutture più piccole con pochi endpoint pubblici, mentre Network Protection (Standard) copre tutti gli IP pubblici in una VNet protetta e include la protezione dei costi e il supporto Rapid Response. Il WAF opera al Livello 7 su Azure Application Gateway (regionale) o Azure Front Door (globale), con set di regole gestite, punteggio di anomalia, protezione dai bot e regole personalizzate. Esegui il WAF in modalità di prevenzione (prevention mode) per bloccare attivamente e abbinalo a origini private e accesso Zero Trust per una difesa in profondità (defense in depth). Combina questi servizi per una difesa a più livelli: DDoS per assorbire i flood, WAF per bloccare le minacce OWASP Top 10 e i pattern di abuso, NSG e Azure Firewall per limitare i flussi est-ovest e nord-sud, e Defender for Cloud per chiudere le lacune di configurazione e rilevare le minacce. Invia i dati diagnostici da WAF, DDoS e i log delle risorse a Log Analytics o Microsoft Sentinel per la correlazione e la risposta.

• DDoS Basic (piattaforma)
  • Ambito: Piattaforma globale
  • Funzione primaria: Mitigazione di base multi-tenant
  • Ideale per: Tutti i servizi pubblici
  • Inclusioni chiave: Protezione di base sempre attiva, nessuna configurazione
• DDoS IP Protection
  • Ambito: Per singolo IP pubblico
  • Funzione primaria: Mitigazione DDoS per endpoint selezionati
  • Ideale per: Infrastrutture piccole, dev/test, app con singolo IP
  • Inclusioni chiave: Ottimizzazione adattiva, analisi degli attacchi
• DDoS Network Protection
  • Ambito: Per VNet (tutti gli IP pubblici)
  • Funzione primaria: DDoS completo con supporto
  • Ideale per: VNet di produzione con molti endpoint
  • Inclusioni chiave: Protezione dei costi, Rapid Response, report di mitigazione
• WAF su Application Gateway v2
  • Ambito: L7 regionale
  • Funzione primaria: Mitigazione minacce a livello applicativo sul gateway
  • Ideale per: App regionali, backend privati
  • Inclusioni chiave: OWASP CRS, regole personalizzate, mitigazione bot
• WAF su Azure Front Door
  • Ambito: CDN/acceleratore L7 globale
  • Funzione primaria: Protezione e accelerazione perimetrale globale
  • Ideale per: App/API globali esposte su Internet
  • Inclusioni chiave: Policy WAF, geo-filtering, limiti di frequenza (rate limits)

Problema pratico: Implementazione ibrida sicura di Contoso Retail con accesso basato sul rischio e difese a più livelli

Scenario: Contoso Retail gestisce 120 negozi con una foresta AD on-premise e sta lanciando una nuova piattaforma di e-commerce basata su Azure. I dipendenti accederanno ai portali di amministrazione interni da dispositivi aziendali, mentre fornitori e agenzie di marketing richiederanno un accesso guest. L’azienda deve ridurre le chiamate all’helpdesk relative alle password, imporre un accesso resistente al phishing per gli amministratori, proteggere i segreti delle applicazioni e sostenere picchi di traffico stagionali e campagne di attacco, il tutto mantenendo le prove di audit per i controlli PCI DSS.

Sfida: Progettare un’architettura di sicurezza “identity-first” che preservi le identità esistenti, applichi un accesso adattivo, rimuova i segreti dal codice, minimizzi i privilegi permanenti e implementi protezioni perimetrali di rete per un front-end web raggiungibile a livello globale.

Approccio consigliato:

1. Distribuire Microsoft Entra Connect con la sincronizzazione degli hash delle password e il Seamless SSO. Configurare un server di staging per il rollback e sincronizzare solo le OU selezionate per limitare l’ambito.
2. Creare gruppi di sicurezza dinamici per Finanza, Operazioni di Negozio e Amministratori basati su attributi on-premise; utilizzare assegnazioni di app e licenze basate su gruppi.
3. Abilitare l’Accesso Condizionale: richiedere l’MFA per tutti gli utenti; bloccare l’autenticazione legacy; richiedere dispositivi conformi o aggiunti in modalità ibrida (hybrid-joined) per i portali di amministrazione; imporre una richiesta di MFA basata sul rischio di accesso e bloccare l’accesso dai paesi in cui Contoso non è presente.
4. Implementare il passwordless per gli utenti con privilegi utilizzando chiavi di sicurezza FIDO2 e Windows Hello for Business; rendere obbligatorio il number-matching per le notifiche push di Authenticator fino al completo passaggio al passwordless.
5. Abilitare l’SSPR con il writeback delle password e richiedere due metodi sicuri per il ripristino; unificare la registrazione con quella dell’MFA per ridurre l’attrito per l’utente.
6. Attivare le policy di rischio utente e di rischio di accesso di Microsoft Entra ID Protection per richiedere automaticamente la modifica della password in caso di rischio utente elevato e sottoporre a verifica gli accessi con rischio medio o superiore.
7. Istituire Access Reviews per gli utenti guest nei gruppi dedicati ai partner e per tutti i ruoli idonei per il PIM, con l’applicazione automatica della rimozione in caso di mancata risposta.
8. Implementare Azure RBAC con il principio del privilegio minimo a livello di gruppo di risorse per ogni applicazione; assegnare tramite gruppi. Usare avvisi del log attività per le modifiche alle assegnazioni di ruolo.
9. Integrare le sottoscrizioni nel PIM; rendere le assegnazioni di Owner e Contributor Idonee (Eligible) con approvazione, MFA e finestre di attivazione di 4 ore; richiedere numeri di ticket e giustificazione.
10. Effettuare il provisioning di Azure Key Vault con endpoint privati e Azure RBAC per l’accesso al piano dati. Archiviare segreti e certificati delle app; abilitare le policy di rotazione; concedere all’identità gestita assegnata dal sistema dell’app web l’accesso in lettura ai segreti necessari.
11. Posizionare Azure Front Door Standard con WAF in modalità di prevenzione di fronte al sito di e-commerce, utilizzando una policy WAF con il set di regole gestite più recente e il geo-filtering; limitare l’accesso all’origine tramite endpoint privati o indirizzi IP pubblici bloccati.
12. Abilitare DDoS Network Protection sulla VNet di produzione che ospita gli IP pubblici per API e gateway; configurare la diagnostica e gli avvisi.
13. Attivare i piani di Microsoft Defender for Cloud per Server, Container, App Service, SQL e Key Vault. Usare le azioni di miglioramento del Secure Score per risolvere la mancanza di MFA sulle sottoscrizioni, l’accesso pubblico agli archivi e TLS debole su App Gateway.
14. Inviare in streaming gli accessi di Entra, gli audit, gli avvisi di WAF, DDoS e Defender a un’area di lavoro Log Analytics e a Microsoft Sentinel per il rilevamento e la risposta. Creare playbook per disabilitare i token e forzare il reset della password in caso di compromissione confermata dell’account.

Motivazioni per la scelta di Azure: Questo progetto preserva l’autorità di identità on-premise, abilitando al contempo un accesso al cloud resiliente con la sincronizzazione degli hash delle password. L’Accesso Condizionale e Identity Protection trasformano l’MFA statica in un’applicazione adattiva e basata sul rischio, mentre il passwordless rimuove il phishing delle password dal percorso degli utenti con privilegi. RBAC con assegnazioni di gruppo e PIM elimina i diritti di amministratore permanenti e fornisce una completa verificabilità (auditability). Key Vault e le identità gestite eliminano i segreti dal codice e dalle pipeline. Azure Front Door WAF e DDoS Protection stabiliscono una difesa perimetrale a più livelli per una presenza globale, e Defender for Cloud con il Secure Score guida il rafforzamento continuo (hardening) e il rilevamento delle minacce su tutti i servizi di calcolo e dati.

← Archiviazione e Database · Tutti i domini · Gestione dei Costi ed Economia dei Servizi →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →

Sfoglia Microsoft →