Azure Lighthouse: perché l'organizzazione di un MSP non equivale a un tenant

Azure Lighthouse è il modello documentato di Microsoft per consentire a un provider di servizi gestiti di lavorare sulle risorse Azure di molti clienti dall'interno del proprio tenant, senza unire la directory di alcun cliente a quella dell'MSP. Microsoft chiama questo approccio Azure delegated resource management: un cliente delega sottoscrizioni o gruppi di risorse specifici a utenti e ruoli indicati nel tenant dell'MSP e può revocare tale accesso in modo indipendente in qualsiasi momento.

Come funziona concretamente la delega

Dietro le quinte, l'onboarding di un cliente crea due risorse all'interno del tenant del cliente: una definizione di registrazione, che descrive quale accesso viene concesso e a chi, e un'assegnazione di registrazione, che la attiva. Quando qualcuno nel tenant dell'MSP tenta di agire su una risorsa delegata, Azure Resource Manager autentica la richiesta nello stesso modo in cui autentica una richiesta di un utente nativo del tenant del cliente: l'utente dell'MSP non ha mai bisogno di un account all'interno della directory del cliente e non ne diventa mai comproprietario. I clienti mantengono la visibilità su ciò che è stato delegato e possono vederlo dal proprio portale.

Perché la terminologia genera confusione

La stessa guida di Microsoft è esplicita nel dire che "organizzazione" e "tenant" non sono intercambiabili: una singola organizzazione commerciale, un solo marchio, un'unica entità giuridica, può estendersi su molti tenant di Microsoft Entra, uno per cliente, per ambiente o per acquisizione. Lighthouse è costruito attorno a questa realtà e non contro di essa: consente a un'organizzazione di operare tra tenant mantenendo ogni tenant come confine rigido per identità e accesso. Appiattire questa distinzione — trattare «la nostra organizzazione» come se fosse un unico tenant — è l'errore che l'architettura di Lighthouse è progettata per prevenire, non solo per documentare.

Per gli MSP che realizzano o acquistano strumenti multi-tenant di qualsiasi tipo, Azure Lighthouse è un utile punto di riferimento: l'accesso delegato e revocabile in un tenant separato è un design diverso e, in genere, più sicuro rispetto a raggruppare più clienti sotto un'unica directory condivisa e distinguerli con flag a livello applicativo. La distinzione è architetturale, non un'etichetta di conformità: vale la pena verificarla nel modello di accesso effettivo di qualsiasi fornitore, non solo nei suoi materiali di marketing.

Fonti: Microsoft Learn — Che cos'è Azure Lighthouse?, Microsoft Learn — Tenant, utenti e ruoli in Azure Lighthouse.