Note di Marco Toigo

Accedere a Windows e alle risorse interne con la chiave FIDO2: oggetto Kerberos e Cloud Kerberos Trust!

Sun, 18 Oct 2026 00:00:00 GMT

Con una chiave FIDO2 registrata si entra in Microsoft 365. Per aprire il PC Windows e continuare a usare cartelle di rete, stampanti e applicazioni integrate con Active Directory serve un passaggio in più: Entra ID deve poter emettere un ticket Kerberos per il dominio. Si ottiene creando una volta per dominio un oggetto server Kerberos di Entra.

Requisiti

PC client

Windows 10 versione 2004 o successiva (la pagina Microsoft non cita Windows 11 in modo esplicito: provalo su un PC pilota), uniti a Entra ID oppure in hybrid join. I PC uniti solo ad Active Directory non sono supportati.

Domain controller

Windows Server 2016 o successivo con le patch KB4534307 (Server 2016) o KB4534321 (Server 2019) installate.
Almeno un DC scrivibile per sito. I DC di sola lettura sono ammessi purché ci sia un DC scrivibile.
Se hai il criterio "Configura i tipi di crittografia consentiti per Kerberos", deve essere abilitato AES256_HMAC_SHA1.

Attributi sincronizzati: onPremisesSamAccountName, onPremisesDomainName, onPremisesSecurityIdentifier. Entra Connect li sincronizza di default: non escluderli se personalizzi.

Account per la procedura: un utente AD membro di Domain Admins ed Enterprise Admins e un utente Entra con ruolo Hybrid Identity Administrator.

Prima di tutto: le passkey FIDO2 devono già essere abilitate nel tenant (articolo precedente).

1. Creare l'oggetto Kerberos

Sul server di Entra Connect (o su un server con la DLL Microsoft.Online.PasswordSynchronization.Rpc.dll), in PowerShell come amministratore:

[Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12

Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber

$domain = $env:USERDNSDOMAIN

$cloudCred = Get-Credential # utente Entra, Hybrid Identity Administrator

$domainCred = Get-Credential # utente AD, Domain + Enterprise Admins

Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

Se il tenant impone MFA o FIDO2 anche per la password, al posto di -CloudCredential si usa -UserPrincipalName con l'UPN dell'amministratore Entra.

Verifica che gli identificativi cloud e on-premises coincidano:

Get-AzureADKerberosServer -Domain $domain -UserPrincipalName $upn -DomainCredential (Get-Credential)

Confronta CloudId, CloudDomainDnsName, CloudKeyVersion e CloudKeyUpdatedOn.

Nel dominio compare un oggetto computer AzureADKerberos nell'unità Domain Controllers: sembra un RODC ma non è un server fisico. Non allentare i criteri di replica delle password di quell'oggetto per far funzionare gli account privilegiati.

Il comando va ripetuto per ogni dominio che contiene utenti Entra. La chiave si ruota con -RotateServerKey, in linea con la rotazione di krbtgt; usa solo questo strumento per farlo.

2. Criteri sui PC (Intune)

Per l'accesso a Windows con Windows Hello for Business con cloud trust, crea un criterio Settings catalog assegnato ai dispositivi:

Use Windows Hello For Business — Valore: true
Use Cloud Trust For On Prem Auth — Valore: Enabled
Require Security Device — Valore: true

Se non usi Intune, esistono i criteri di gruppo equivalenti; l'elenco con i percorsi esatti è nella pagina Microsoft sulle impostazioni di Windows Hello for Business. Se applichi sia GPO sia Intune, prevalgono i GPO. Non deve essere configurato "Usa certificato per l'autenticazione locale", che ha la precedenza.

Per la sola chiave di sicurezza come credenziale di accesso a Windows, nei criteri dei dispositivi va abilitata l'opzione di accesso con chiave di sicurezza; la pagina Microsoft sulle passkey in Windows contiene i passaggi.

3. Test

PC Windows 11 in hybrid join, schermata di accesso → Opzioni di accesso → icona della chiave di sicurezza → inserire la chiave, PIN, toccare. Poi prova a raggiungere una cartella condivisa: non deve chiedere la password.

Subito dopo una nuova installazione di un PC, accedi con la password e attendi la sincronizzazione dei criteri; verifica con dsregcmd /status che compaiano AzureAdJoined : YES e DomainJoined : YES.

Limiti da conoscere

Non funziona per RDP, VDI e Citrix con la chiave, per S/MIME, per "esegui come" e per l'accesso a un server con la chiave. Per questi casi serve ancora la password di dominio.
Se la password è scaduta, l'accesso con la chiave è bloccato finché non viene reimpostata.
Il token Kerberos supporta al massimo 1.010 gruppi.
Il resto delle risorse (cartelle, applicazioni) ottiene l'SSO solo se il DC risponde: se compaiono richieste NTLM dopo l'accesso, controlla con nltest /dsgetdc:<dominio> /keylist /kdc che abbastanza DC siano aggiornati.

Cosa significa per l'organizzazione

La password di dominio resta: serve per i server, per le sessioni remote e come strada di emergenza. L'obiettivo realistico è che nel lavoro quotidiano nessuno la digiti più.

Riferimenti

Chiavi FIDO2 in Entra ID: abilitarle, registrarle, consegnarle a utenti non tecnici

Sun, 18 Oct 2026 00:00:00 GMT

Una chiave FIDO2 (per esempio una chiave USB con NFC) è un'MFA resistente al phishing: non esiste un codice da digitare e la chiave risponde solo al sito vero. Per utenti poco avvezzi alla tecnologia è anche più semplice di un'app: si inserisce la chiave, si inserisce il PIN, si tocca.

Secondo Microsoft le passkey FIDO2 sono disponibili in tutte le edizioni di Entra ID, Free compreso.

1. Abilitare il metodo

Serve almeno il ruolo Authentication Policy Administrator.

Interfaccia di amministrazione di Entra → Entra ID → Sicurezza → Metodi di autenticazione → Criteri.
Seleziona Passkey (FIDO2).
Se compare il banner per i profili di passkey, il passaggio ai profili è irreversibile: leggilo con attenzione, poi accetta. Le impostazioni globali diventano il profilo predefinito. Si possono avere fino a tre profili.
Nella scheda Configura imposta Consenti configurazione self-service = Sì. Se è No, gli utenti non possono registrare la chiave da Informazioni di sicurezza.
Apri il profilo predefinito, scegli i tipi di passkey (device-bound per le chiavi fisiche; le sincronizzate vanno in un secondo momento, se vuoi) e salva.
In Abilita e destinazione scegli Tutti gli utenti oppure un gruppo pilota.

2. Limitare i modelli ammessi

Nel profilo puoi attivare Applica attestazione e le restrizioni sulle chiavi: elenchi di AAGUID (l'identificativo del modello) ammessi o bloccati. Se compri un solo modello, ammettere solo quello evita chiavi di provenienza sconosciuta.

Due avvertenze dalla documentazione:

l'attestazione si controlla solo in fase di registrazione;
se togli un AAGUID da quelli ammessi, gli utenti con quella chiave non possono più accedere.

Gli ospiti B2B non possono registrare passkey.

3. Registrazione da parte dell'utente

L'utente apre mysignins.microsoft.com/security-info, sceglie Aggiungi metodo di accesso → Chiave di sicurezza, inserisce la chiave, imposta il PIN e la tocca. Prima deve aver completato un'MFA negli ultimi cinque minuti: se non ha ancora altri metodi, questo è il punto in cui di solito ci si blocca. Per questo conviene la registrazione assistita, con l'IT accanto.

Provisioning da amministratore: esiste una procedura via Microsoft Graph (in anteprima, al momento della consultazione) in cui l'amministratore prepara la chiave al posto dell'utente: richiede le opzioni di creazione, inizializza la chiave con un client CTAP (inserendo il PIN) e registra il risultato. Richiede il ruolo Authentication Administrator. Utile per grandi numeri, meno per venti persone.

4. Un piano di consegna realistico

Due chiavi per persona. Una per l'uso quotidiano, una di scorta conservata in azienda. Chi perde la chiave unica non lavora fino a quando non gliene dai un'altra.
Etichetta con nome (o ID) sulla chiave: serve a ritrovarla e a non scambiarla.
Il PIN lo sceglie l'utente, non l'IT. Una pagina con tre immagini: "inserisci, PIN, tocca".
Postazioni condivise: la chiave segue la persona, non il PC. È il vantaggio principale per chi cambia postazione.
Scaglioni: gruppo pilota (IT più due utenti pazienti), poi un reparto alla volta, con una persona di riferimento per ciascuno.
Recupero: decidi prima chi può revocare una chiave persa e rilasciarne una nuova, e come verifichi l'identità di chi la chiede.

Per revocare una chiave persa: Entra → Utenti → l'utente → Metodi di autenticazione → elimina la chiave.

Riferimenti

Passkey (FIDO2) in Microsoft Entra ID

MFA obbligatoria con Microsoft 365 Business Standard: cosa puoi fare senza accesso condizionale

Sun, 18 Oct 2026 00:00:00 GMT

Con Microsoft 365 Business Standard l'MFA obbligatoria si ottiene con le impostazioni predefinite di sicurezza (security defaults). L'accesso condizionale, cioè regole su misura per utenti, app e dispositivi, richiede almeno Microsoft Entra ID P1, che fa parte di Business Premium e non di Standard.

Licenza — Impostazioni predefinite: Inclusa (Entra ID Free); Accesso condizionale: Entra ID P1 (Business Premium)
Personalizzazione — Impostazioni predefinite: Nessuna: acceso o spento; Accesso condizionale: Completa
Uso insieme — Impostazioni predefinite: No; Accesso condizionale: No

Le due cose non convivono: per usare l'accesso condizionale devi prima disattivare le impostazioni predefinite.

Cosa fanno le impostazioni predefinite

Tutti gli utenti devono registrare l'MFA. Dal 29 luglio 2024 il periodo di tolleranza di 14 giorni non esiste più.
Gli amministratori hanno l'MFA a ogni accesso.
Gli utenti la ricevono quando serve, secondo la valutazione di Microsoft (posizione, dispositivo, ruolo, operazione).
Blocco dell'autenticazione legacy (per esempio Exchange ActiveSync con autenticazione di base).
MFA per gli strumenti di gestione Azure.

I metodi che la documentazione cita sono: Microsoft Authenticator con notifica, i codici di Authenticator e le app TOTP di terze parti. Le chiavi FIDO2 non sono elencate tra i metodi delle impostazioni predefinite: prima di basare il progetto su questo, prova con un utente pilota se la chiave registrata soddisfa la richiesta di MFA nel tuo tenant.

Gli account di sincronizzazione di Entra Connect sono esclusi dai prompt MFA.

Prima di attivare: gli account di emergenza

Microsoft raccomanda due account solo cloud (nome @tenant.onmicrosoft.com, non sincronizzati) con ruolo permanente di Global Administrator, per il caso in cui un errore di configurazione ti chiuda fuori. Password lunghe e casuali, conservate offline in due posti diversi, usate solo per l'emergenza e monitorate.

Se usi l'accesso condizionale, escludili dalle regole; con le impostazioni predefinite l'esclusione non è possibile, quindi proteggili con una chiave FIDO2 dedicata.

Come si attivano

Accedi all'interfaccia di amministrazione di Microsoft Entra con almeno il ruolo Conditional Access Administrator.
Vai in Entra ID → Panoramica → Proprietà.
Seleziona Gestisci impostazioni predefinite di sicurezza.
Imposta Abilitato e salva.

I tenant creati dopo il 22 ottobre 2019 le hanno già attive. Controlla comunque lo stato: se qualcuno le ha disattivate, l'MFA non è obbligatoria.

Quando le attivi, Microsoft consiglia di revocare le sessioni esistenti, così gli utenti già collegati devono registrarsi:

Revoke-MgUserSignInSession -UserId <id-oggetto-utente>

Non toccare i metodi nelle impostazioni del servizio MFA

La documentazione avverte di non disattivare metodi in "Metodi disponibili per gli utenti" nelle impostazioni del servizio MFA: puoi chiuderti fuori dal tenant.

Quando passare a Business Premium

Se vuoi che la chiave FIDO sia l'unico metodo accettato (con la regola forza di autenticazione: MFA resistente al phishing), o se ti servono eccezioni per ufficio, rete o dispositivo, con le impostazioni predefinite non è possibile. Valuta Business Premium per i soli utenti che ne hanno bisogno, oppure per tutti: è una decisione di costo che conviene prendere prima di comprare le chiavi.

Riferimenti

Entra Connect e hybrid join: sincronizzare gli utenti e riconoscere i PC nel cloud

Sun, 18 Oct 2026 00:00:00 GMT

Con gli UPN a posto si può installare Microsoft Entra Connect Sync, il componente che copia utenti e gruppi da Active Directory a Entra ID e, nella stessa procedura, può attivare l'hybrid join dei PC.

Il server

Windows Server 2022 o 2025 con interfaccia grafica è la raccomandazione attuale; Server Core non è supportato. Le versioni più vecchie sono ammesse solo se ancora in supporto esteso e, secondo la documentazione, possono richiedere un contratto di supporto a pagamento. Con un server 2016 conviene pianificare un'installazione nuova.
Deve essere membro del dominio. Microsoft lo definisce un sistema di livello 0: dedicato, aggiornato, con pochi amministratori.
Per un'organizzazione piccola basta SQL Server Express LocalDB, già incluso (fino a circa 100.000 oggetti).
Servono TLS 1.2 attivo, .NET Framework recente e PowerShell 5 o successivo.
Account necessari: un Enterprise Admin per l'installazione rapida, un utente con ruolo Hybrid Identity Administrator o Global Administrator nel tenant, assegnato direttamente.

Da sapere ora: Microsoft ha fissato l'aggiornamento obbligatorio alla versione 2.6.84.0 o successiva con autenticazione basata su applicazione entro il 7 aprile 2027; dopo quella data la sincronizzazione si ferma se non è stato fatto.

L'installazione

Scarica il programma dall'interfaccia di amministrazione di Entra e scegli le impostazioni personalizzate: con un dominio .local l'installazione rapida non è consigliata. Nelle schermate principali:

Metodo di accesso: sincronizzazione degli hash delle password (la più semplice e quella che regge meglio se il server di sincronizzazione si ferma). Facoltativo il Single Sign-On facilitato.
Filtro: seleziona solo le unità organizzative degli utenti da portare nel cloud.
Identificazione degli utenti: lascia userPrincipalName come attributo di accesso.
Alla fine non avviare subito la sincronizzazione e attiva la modalità di staging: vedi cosa verrebbe creato o modificato senza scrivere nulla nel cloud.

Utenti già esistenti: niente duplicati

Se la posta è già in Microsoft 365, gli utenti cloud esistono. Entra Connect li abbina agli utenti AD tramite lo UPN e gli indirizzi di posta (soft match). Se lo UPN o l'indirizzo non coincidono, ottieni un secondo utente. Per questo il lavoro dell'articolo precedente viene prima. In modalità staging controlla l'anteprima di esportazione: non devono comparire "creazioni" per utenti che hai già.

Quando l'anteprima è pulita, disattiva lo staging e avvia la sincronizzazione.

Hybrid join dei PC

I PC Windows 11 uniti solo al dominio non sono visibili nel cloud. Servono in hybrid join, che li registra anche in Entra ID. Con Entra Connect 1.1.819 o successivo:

Apri Entra Connect → Configura → Configura opzioni dispositivo.
Accedi con un account Hybrid Identity Administrator.
Scegli Configura hybrid join di Microsoft Entra.
Seleziona i sistemi operativi presenti nel dominio.
Per ogni foresta scegli il servizio di autenticazione e inserisci le credenziali Enterprise Admin: viene creato il punto di connessione di servizio (SCP).
Conferma e chiudi.

Controlla anche che le unità organizzative con i computer siano nel perimetro di sincronizzazione, e che i PC raggiungano enterpriseregistration.windows.net, login.microsoftonline.com e device.login.microsoftonline.com. Non fare ispezione TLS su questi indirizzi.

Verifica

Su un PC, dopo l'accesso con il dominio e qualche minuto di attesa:

dsregcmd /status

Devi leggere AzureAdJoined : YES e DomainJoined : YES. Se il PC risulta "pending", la registrazione non è ancora conclusa o un indirizzo è bloccato.

Riferimenti

Dominio .local e Microsoft 365: sistemare gli UPN prima di sincronizzare

Sun, 18 Oct 2026 00:00:00 GMT

Il primo ostacolo di una sincronizzazione tra Active Directory e Microsoft 365 non è tecnico, è di nomi. Entra ID identifica ogni utente con lo UPN (utente@dominio) e Entra Connect sincronizza solo verso un dominio verificato. Un dominio come azienda.local non è instradabile su Internet, quindi non si può verificare.

Cosa succede se ci si prova lo stesso: l'utente finisce con un indirizzo @tenant.onmicrosoft.com. Funziona, ma è brutto, e soprattutto non coincide con l'indirizzo di posta. Per questo si sistema prima.

1. Controlla che il dominio pubblico sia già verificato

Se la posta è già su Microsoft 365 con azienda.it, il dominio è quasi certamente già verificato. Controlla in Microsoft 365 admin center → Impostazioni → Domini. Se non lo è, aggiungilo e crea il record TXT che ti viene indicato nel DNS pubblico.

2. Aggiungi il suffisso UPN alla foresta

Da un domain controller, in PowerShell:

Get-ADForest | Set-ADForest -UPNSuffixes @{add="azienda.it"}

In alternativa: Domini e trust di Active Directory → tasto destro sul nodo radice → Proprietà → Suffissi UPN alternativi.

3. Cambia lo UPN degli utenti

La scelta sensata è che lo UPN coincida con l'indirizzo di posta principale. Questo è anche ciò che permette l'abbinamento automatico con gli utenti già presenti nel cloud. Prima una prova senza modificare nulla:

Get-ADUser -SearchBase "OU=Utenti,DC=azienda,DC=local" -Filter {mail -like "*@azienda.it"} |

ForEach-Object {

Set-ADUser $_ -UserPrincipalName $_.mail -WhatIf

}

Se l'elenco ti convince, togli -WhatIf. Gli utenti senza attributo mail restano fuori: sono quelli da guardare a mano.

Effetto collaterale da dire agli utenti: cambia il nome con cui si può accedere in formato email. L'accesso con AZIENDA\nomeutente a Windows continua a funzionare.

4. Pulisci prima di sincronizzare

Prima di avviare Entra Connect, cerca i problemi che bloccano la sincronizzazione o creano duplicati:

indirizzi di posta duplicati tra due utenti AD;
caratteri non ammessi o spazi in userPrincipalName e proxyAddresses;
utenti con la stessa email in AD e nel cloud ma con nomi diversi;
account di servizio e vecchi dipendenti che non devono finire nel cloud.

Microsoft ha uno strumento apposta, IdFix, che legge la directory e segnala gli attributi da correggere. Eseguilo prima, non dopo.

5. Decidi cosa sincronizzare

Non serve portare nel cloud tutta la directory. Sposta gli utenti che devono accedere a Microsoft 365 in una o più unità organizzative dedicate (o usa un gruppo) e filtra la sincronizzazione su quelle. Nel prossimo articolo si seleziona nella procedura guidata.

Riferimenti

Concetti di progettazione di Entra Connect: domini non instradabili e UPN

MFA e chiavi FIDO in una PMI con Active Directory e Microsoft 365: la mappa

Sun, 18 Oct 2026 00:00:00 GMT

Quando in azienda si decide "mettiamo l'MFA a tutti, con una chiave FIDO", sembra un lavoro da un pomeriggio. In realtà sono sette passaggi che dipendono l'uno dall'altro, e l'errore tipico è partire dalla fine: comprare le chiavi prima di aver capito se i nomi utente, la licenza e i PC lo permettono.

Questa è la mappa. Ogni passaggio ha un suo articolo.

Lo scenario

Active Directory on-premises con un dominio interno (qui lo chiamo azienda.local), server Windows, PC Windows 11 uniti al dominio, posta su Microsoft 365 Business Standard. Utenti poco abituati alla tecnologia, che cambiano spesso postazione. Account e nomi un po' mescolati tra AD e cloud, come succede dopo qualche anno.

I sette passaggi

Nomi utente (UPN). Un dominio .local non si può verificare in Microsoft Entra ID. Serve un suffisso pubblico, per esempio azienda.it, assegnato agli utenti prima di sincronizzare qualsiasi cosa. Articolo 2
Sincronizzazione con Entra Connect. Gli utenti AD diventano utenti cloud, abbinati a quelli già esistenti. Articolo 3
Hybrid join dei PC. Senza questo, il PC non sa di essere "dell'azienda" nel cloud e l'accesso a Windows con la chiave non funziona. Si configura nella stessa procedura guidata. Articolo 3
MFA obbligatoria. Qui conta la licenza: con Business Standard hai gli impostazioni predefinite di sicurezza, non l'accesso condizionale. Articolo 4
Chiavi FIDO2. Abilitare il metodo, registrare le chiavi, consegnarle a persone che non vogliono sentir parlare di sicurezza. Articolo 5
Accesso a Windows con la chiave e SSO verso le risorse interne. Si basa su un oggetto Kerberos che si crea una volta per dominio. Articolo 6
Piano di rollout e recupero. Chi perde la chiave? Chi è l'amministratore di emergenza? Se non lo decidi prima, lo scopri il lunedì mattina.

Tre cose da sapere prima di cominciare

La licenza decide gli strumenti. Tutte le sottoscrizioni Microsoft 365 per le aziende includono Entra ID Free, che comprende gli impostazioni predefinite di sicurezza. L'accesso condizionale richiede almeno Entra ID P1, incluso in Business Premium e non in Business Standard. Impostazioni predefinite e accesso condizionale non si usano insieme.

Le passkey FIDO2 non richiedono licenze aggiuntive. Secondo la documentazione Microsoft sono disponibili in tutte le edizioni di Entra ID, anche Free. Il costo reale sono le chiavi e il tempo.

I PC solo "a dominio" non bastano. L'accesso a Windows con chiave FIDO e il single sign-on verso le risorse interne richiedono PC uniti a Entra ID o in hybrid join (Windows 10 versione 2004 o successiva). I dispositivi uniti solo ad Active Directory non sono supportati.

Cosa non fa una chiave FIDO

Non sostituisce la password di Active Directory: chi accede a un server in RDP, a una VDI o con "esegui come" non può usare la chiave. Per quei casi serve ancora la password. Ne parlo nell'ultimo articolo.

Ordine di lavoro che consiglio

Prima la pulizia (nomi, indirizzi, duplicati), poi la sincronizzazione su un gruppo pilota, poi l'MFA, solo alla fine le chiavi a tutti. Si può procedere un reparto alla volta; sono i passaggi 1-3 che vanno fatti una volta sola e bene.

Riferimenti

Perché ho rifatto il mio sito con Payload e Cloudflare

Sat, 17 Oct 2026 00:00:00 GMT

Volevo un sito di poche pagine, veloce sul telefono e semplice da aggiornare, ma con un pannello di gestione serio.

La struttura

Il pannello è Payload, ospitato su un Worker con il database D1 e le immagini su R2. Il sito pubblico è generato da Astro come pagine statiche.

Come si aggiorna

Quando pubblico una nota, il CMS chiede a Cloudflare di ricostruire il sito. Dopo un paio di minuti la nota è online.

Chiavi FIDO in azienda: appunti dal primo giro

Mon, 28 Sep 2026 00:00:00 GMT

Testo di esempio: questa nota è ancora da scrivere.

NIS 2 in una PMI: da dove si comincia !!

Wed, 09 Sep 2026 00:00:00 GMT

Testo di esempio: questa nota è ancora da scrivere.

jjjjjjj

Etichette Zebra da NAV con un container

Fri, 21 Aug 2026 00:00:00 GMT

Testo di esempio: questa nota è ancora da scrivere.