FAQ MSP: come governare l'accesso tra i tenant senza un god admin

Una modalità di errore comune nelle operazioni MSP è un account tecnico o di automazione con diritti di amministratore permanenti su ogni tenant dei clienti — un "god admin" che trasforma una singola credenziale compromessa in una violazione dell'intera base clienti. Il modello Granular Delegated Admin Privileges (GDAP) di Microsoft, creato per il suo ecosistema di partner, illustra l'alternativa.

Cosa cambia con GDAP

Prima di GDAP, gli agenti amministrativi di un partner potevano assumere un ruolo di Global Administrator nel tenant di un cliente a tempo indeterminato. GDAP lo sostituisce con un accesso che è sia granulare — limitato a ruoli amministrativi specifici — sia a tempo determinato, e richiede che il cliente conceda esplicitamente tale accesso invece di ereditarlo automaticamente. La guida ai ruoli di Microsoft va oltre, associando ogni attività amministrativa al ruolo predefinito con privilegi minimi in grado di eseguirla, invece di ricorrere a un ruolo amministrativo ampio perché è comodo.

Applicare lo stesso modello oltre Microsoft 365

Il modello GDAP si generalizza a qualsiasi stack SaaS che un MSP gestisce per conto di un cliente: ogni tenant dei clienti dovrebbe essere il proprio confine di governance, le identità di tecnici e automazione dovrebbero essere distinte e l'accesso con privilegi elevati dovrebbe scadere invece di persistere. Un thread del forum MSP del Non-Human Identity Management Group inquadra chiaramente il rischio sottostante: un isolamento debole tra tenant trasforma la comodità operativa in un rischio condiviso per ogni cliente sulla piattaforma.

Una checklist pratica

• Nessun ruolo Global Administrator permanente o equivalente che copra ogni tenant dei clienti.
• Limita i ruoli di partner/tecnico per singolo cliente e rivedili a cadenza fissa.
• Mantieni un percorso break-glass separato con elevazione a tempo determinato legata a un ticket.
• Assegna all'automazione una propria identità con privilegi minimi, distinta da quella di qualsiasi tecnico.
• Conserva log di audit per tenant, ricercabili per cliente.

La lezione si estende oltre Microsoft 365: qualunque piattaforma un MSP utilizzi per raggiungere i tenant dei clienti, l'accesso dovrebbe essere limitato, a tempo determinato e per singolo cliente, non un'unica identità amministrativa che apre tutte le porte.

Fonti: Microsoft Learn — Introduzione a GDAP, Non-Human Identity Management Group — gestione SaaS multi-tenant per MSP.