Marco Toigo

MFA e chiavi FIDO in una PMI con Active Directory e Microsoft 365: la mappa.

Sette passaggi, nell'ordine giusto, per portare un'azienda con AD on-premises e Microsoft 365 a MFA obbligatoria e chiavi FIDO. Prima di toccare qualunque console.

Quando in azienda si decide "mettiamo l'MFA a tutti, con una chiave FIDO", sembra un lavoro da un pomeriggio. In realtà sono sette passaggi che dipendono l'uno dall'altro, e l'errore tipico è partire dalla fine: comprare le chiavi prima di aver capito se i nomi utente, la licenza e i PC lo permettono.

Questa è la mappa. Ogni passaggio ha un suo articolo.

Lo scenario

Active Directory on-premises con un dominio interno (qui lo chiamo azienda.local), server Windows, PC Windows 11 uniti al dominio, posta su Microsoft 365 Business Standard. Utenti poco abituati alla tecnologia, che cambiano spesso postazione. Account e nomi un po' mescolati tra AD e cloud, come succede dopo qualche anno.

I sette passaggi

  1. Nomi utente (UPN). Un dominio .local non si può verificare in Microsoft Entra ID. Serve un suffisso pubblico, per esempio azienda.it, assegnato agli utenti prima di sincronizzare qualsiasi cosa. Articolo 2
  2. Sincronizzazione con Entra Connect. Gli utenti AD diventano utenti cloud, abbinati a quelli già esistenti. Articolo 3
  3. Hybrid join dei PC. Senza questo, il PC non sa di essere "dell'azienda" nel cloud e l'accesso a Windows con la chiave non funziona. Si configura nella stessa procedura guidata. Articolo 3
  4. MFA obbligatoria. Qui conta la licenza: con Business Standard hai gli impostazioni predefinite di sicurezza, non l'accesso condizionale. Articolo 4
  5. Chiavi FIDO2. Abilitare il metodo, registrare le chiavi, consegnarle a persone che non vogliono sentir parlare di sicurezza. Articolo 5
  6. Accesso a Windows con la chiave e SSO verso le risorse interne. Si basa su un oggetto Kerberos che si crea una volta per dominio. Articolo 6
  7. Piano di rollout e recupero. Chi perde la chiave? Chi è l'amministratore di emergenza? Se non lo decidi prima, lo scopri il lunedì mattina.

Tre cose da sapere prima di cominciare

La licenza decide gli strumenti. Tutte le sottoscrizioni Microsoft 365 per le aziende includono Entra ID Free, che comprende gli impostazioni predefinite di sicurezza. L'accesso condizionale richiede almeno Entra ID P1, incluso in Business Premium e non in Business Standard. Impostazioni predefinite e accesso condizionale non si usano insieme.

Le passkey FIDO2 non richiedono licenze aggiuntive. Secondo la documentazione Microsoft sono disponibili in tutte le edizioni di Entra ID, anche Free. Il costo reale sono le chiavi e il tempo.

I PC solo "a dominio" non bastano. L'accesso a Windows con chiave FIDO e il single sign-on verso le risorse interne richiedono PC uniti a Entra ID o in hybrid join (Windows 10 versione 2004 o successiva). I dispositivi uniti solo ad Active Directory non sono supportati.

Cosa non fa una chiave FIDO

Non sostituisce la password di Active Directory: chi accede a un server in RDP, a una VDI o con "esegui come" non può usare la chiave. Per quei casi serve ancora la password. Ne parlo nell'ultimo articolo.

Ordine di lavoro che consiglio

Prima la pulizia (nomi, indirizzi, duplicati), poi la sincronizzazione su un gruppo pilota, poi l'MFA, solo alla fine le chiavi a tutti. Si può procedere un reparto alla volta; sono i passaggi 1-3 che vanno fatti una volta sola e bene.

Riferimenti