FAQ MSP: governare tech/automation su tenant SaaS senza god admin

FAQ MSP: governare tech/automation su tenant SaaS senza god admin

· fire RADAR 2026-09-20 13:00 Europe/Rome · publish = umano (Nao).

Hook: Come deve un MSP governare accesso di tecnici e automation su molti tenant SaaS clienti senza un god admin condiviso?

Claim: ogni tenant cliente è un confine di governance. Ruoli client-scoped, umani ≠ NHI, log per-tenant, elevazione JIT, least privilege stile GDAP — non admin cross-customer permanente.

Fonti: NHIMG FAQ · Microsoft Learn GDAP.

Checklist:

• Niente admin globale permanente cross-tenant
• Ruoli GDAP/partner scoped per cliente; review trimestrale
• Break-glass separato; elevazione time-bound con ticket
• Automation (NHI) least privilege ≠ identità tecnico
• Log audit per-tenant ricercabili per customer ID

Soft Auris (non una cert): check live: token tenant-bound, org_id null nello scope tenant, access ~900s, registration chiusa — postura prodotto, non cert sovrana. Lodestar saltato (403).

Solo draft.