Conditional Access: policy base
Conditional Access è il motore di policy di sicurezza di Microsoft Entra ID: permette di definire regole "if-then" sull'accesso ai servizi M365. Esempio: "Se l'utente accede da paese non IT, richiedi MFA + dispositivo aziendale". È la difesa principale contro account compromessi nel 2026. Vediamo le policy base da configurare in ogni azienda.
Cosa è Conditional Access
Conditional Access (CA) è una funzionalità di Entra ID P1 (incluso in Business Premium e E3/E5). Permette di valutare contestualmente ogni richiesta di accesso: chi sta accedendo, da dove, con che dispositivo, a quale app. In base ai segnali, applica controlli: blocca, richiedi MFA, richiedi dispositivo conforme, richiedi accesso da rete fidata.
Componenti di una policy CA
Una policy si compone di: Users (a chi si applica), Cloud apps (quali app), Conditions (sotto quali condizioni: località, dispositivo, rischio), Access controls (cosa fare: grant con MFA, block, session limit). Combinando questi blocchi crei policy potentissime. Esempio: "Tutti gli utenti tranne admin → Accesso a SharePoint → Da paesi non IT → Blocca".
Policy base 1: MFA per tutti gli utenti
Policy fondamentale: richiedi MFA a tutti gli utenti che accedono a qualunque app cloud. Esclude solo account break-glass. Sostituisce Security Defaults con maggiore granularità. Senza questa policy il tenant è vulnerabile al furto credenziali.
Policy base 2: MFA per admin
Anche se la policy 1 copre tutti, è buona pratica avere una policy dedicata agli admin: richiedi MFA + verifica frequente (no remember device) per ruoli amministrativi (Global Admin, User Admin, Exchange Admin, ecc.). Gli admin sono target privilegiato: protezione extra obbligatoria.
Policy base 3: blocca accessi da paesi a rischio
Crea named location "Italia" e "Paesi UE", e blocca accessi da paesi notoriamente fonte di attacchi (es. quelli non rilevanti per il business: Corea del Nord, alcuni paesi specifici). Attenzione: non bloccare paesi dove hai dipendenti in trasferta o uffici. Inizia con policy in "Report-only" per vedere accessi attuali, poi blocca.
Policy base 4: dispositivo conforme
Per dati sensibili (admin portal, dati HR, finanza), richiedi dispositivo conforme (gestito con Intune) o ibrido aggiunto al dominio. L'utente non può accedere da PC personale non gestito. Disponibile con Business Premium (include Intune).
Procedura passo-passo: prima policy CA
- Accedi a Entra Admin Center.
- Vai su Protection > Conditional Access > Policies.
- Clicca "New policy".
- Nome policy descrittivo (es. "MFA-AllUsers-AllApps").
- Users: All'users, escludi 1-2 break glass.
- Cloud apps: All cloud apps.
- Conditions: lascia tutti gli include/exclude su default.
- Access controls > Grant: Grant access, spunta "Require multi-factor authentication".
- Enable policy: "Report-only" per prima settimana.
- Crea.
- Monitora "Sign-in logs" filtrando per la policy: vedi quali accessi avrebbero richiesto MFA.
- Se tutto ok, modifica policy a "On".
Modalità Report-only
Strumento prezioso: la policy non blocca/applica nulla ma simula l'effetto. Vedi nei sign-in logs colonna "Conditional Access" cosa sarebbe successo se la policy fosse attiva. Usa SEMPRE Report-only per nuove policy critiche: capisci l'impatto prima di interrompere accessi legittimi.
Named locations
Le named locations sono insiemi di IP o paesi che etichetti come "trusted" o "untrusted". Crea: "Office HQ" con IP pubblico della sede aziendale, "Italia" come paese, "VPN aziendale" con IP della VPN. Le policy possono includere/escludere queste location: es. "MFA solo se accesso fuori da Office HQ".
Errori comuni e come risolverli
- Bloccare se stessi: una policy che esclude il tuo account corrente ti chiude fuori; testa sempre con report-only.
- Nessun break glass: lockout totale se policy creano loop.
- Policy "All cloud apps" senza esclusioni: rischio break su servizi critici come PowerShell endpoint.
- Geofencing troppo aggressivo: dipendenti in trasferta bloccati.
- Policy duplicate o conflittuali: difficile debug, mantieni inventario centralizzato.
Best practice
Documenta ogni policy: scopo, target, conditions, controls. Naming convention chiara (es. "CA-MFA-AllUsers", "CA-Block-Risky-Countries"). Review trimestrali per ottimizzare. Test con report-only prima di attivare. Monitora sign-in logs settimanalmente. Crea policy granulari invece di una grande policy: facili da debuggare.
Domande frequenti
D: Conditional Access è incluso in Business Standard?
R: No, serve Business Premium o Entra ID P1 add-on.
D: Posso avere policy diverse per dipartimenti?
R: Sì, assegnando a gruppi specifici.
D: Le policy si applicano subito?
R: Entro pochi minuti dalla creazione.
D: Posso testare una policy prima di applicarla?
R: Sì, modalità "Report-only" o "What if tool".
Risk-based policies
Con Entra ID P2 sblocchi le risk-based policies di Identity Protection: Microsoft assegna a ogni login un risk score (low, medium, high) basato su AI - geolocation impossibile, IP anonimo (Tor), pattern simili ad attacchi noti. Policy esempio: "Se sign-in risk = high → blocca + richiedi reset password". Strumento potente che ferma compromise account in real-time. Disponibile in licenze Entra ID P2, Business Premium include solo P1 ma può essere upgradato.
Continuous Access Evaluation
Tradizionalmente i token Entra durano 1 ora: se utente compromesso viene rilevato a metà ora, attaccante può ancora operare per 30 min. Con Continuous Access Evaluation (CAE), eventi critici (cambio password, sign-out forzato, location change) revocano immediatamente i token attivi. Attivato automaticamente per tenant moderni. Riduzione drastica della finestra di esposizione in caso di compromise. Funziona su Exchange, SharePoint, Teams, Graph API.
Hai bisogno di aiuto?
Se vuoi supporto Microsoft 365 dal team di G Tech Group, scrivici tramite il modulo di contatto.