> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configurazione dell'integrazione con Microsoft Entra ID

> Collegate Microsoft Entra ID a Living Security per le attività relative a identità, accessi, rischi, dispositivi e simulazioni di attacco.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} richiede due set di indirizzi, non uno solo.</strong> Living Security genera il token di accesso di questa
    integrazione sulla propria infrastruttura e lo aggiorna continuamente; il traffico di configurazione e quello di sincronizzazione escono quindi da reti diverse. Inserisca entrambi i set nell'elenco di autorizzazione in {system} e
    li mantenga entrambi: non si tratta di un requisito valido solo per la configurazione.
    <br />
    <br />
    <strong>Traffico di sincronizzazione dell'integrazione</strong> — identico in tutte le regioni:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Traffico della piattaforma</strong> — utilizzi solo la riga relativa alla regione che ospita la Sua
    organizzazione:
    <br />
    Stati Uniti: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    Unione Europea: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Se autorizza solo il set di sincronizzazione, la configurazione non viene mai completata. Se autorizza solo il set della piattaforma, la
    configurazione riesce ma ogni sincronizzazione non va a buon fine. Per entrambe le modalità di errore e i criteri di modifica, consulti{' '}
    <a href="/it/integrations/managing/egress-ip-addresses">
      Configurazione degli indirizzi IP di uscita delle Integrazioni
    </a>.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Risorse correlate</h2>
    <ul>
      <li>
        <a href="/it/signals/data-sources">Scopra come i dati delle integrazioni diventano segnali di Human Risk Management</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Scopra le integrazioni di Living Security</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Apra la Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Richieda una demo di Living Security</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Configurazione delegata (consigliata per i segreti)">
      Invitate l'amministratore di sistema nella piattaforma con autorizzazioni limitate all'ambito necessario. L'amministratore inserisce
      direttamente le credenziali; voi non gestirete mai il segreto.
    </Tab>
    <Tab title="Trasferimento delle credenziali">
      Inviate all'amministratore la pagina del provider. L'amministratore effettua il provisioning delle credenziali e ve le restituisce;
      voi le inserite nella finestra di dialogo Connect.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Inserire le credenziali in Living Security Platform">
    <p>
      Operazione da eseguire a cura di chi dispone dell'accesso a Living Security: il responsabile del programma oppure, se è stato invitato (configurazione delegata), l'amministratore di sistema.
    </p>
    <ol>
      <li>
        Andare in <strong>Impostazioni → Integrazioni → Catalogo</strong>, individuare il riquadro{' '}
        <strong>{tile}</strong> e fare clic su <strong>Connetti</strong>.
      </li>
      <li>
        Compilare i campi riportati di seguito, quindi fare clic su <strong>Connetti</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Questa guida è destinata all'amministratore di {system}.</strong> Descrive la creazione delle credenziali API all'interno di {system}, operazione che richiede l'accesso come amministratore a {system} e non alla
      Living Security Platform.
    </p>
    <p>
      Se Lei è il <strong>responsabile del programma</strong> Living Security e non amministra {system},
      inoltri questa pagina al responsabile dell'amministrazione di {system}. L'amministratore completerà la Parte A e Le restituirà le credenziali
      (oppure le inserirà direttamente, se è stato invitato nella piattaforma).
      {recommendDelegated && <>
          {' '}Poiché la configurazione genera materiale crittografico sensibile, si consiglia di seguire la procedura di{' '}
          <strong>configurazione delegata</strong>, in modo che il segreto non Le venga mai inviato.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Cosa apporta questa integrazione

Microsoft Entra ID può fornire attività normalizzate relative a identità, accessi, rischi, dispositivi e simulazioni di attacco. Tra gli esempi verificati:

* `account.compromised` — account segnalato come compromesso
* `auth.login.unusual` — accessi da contesti insoliti
* `phishing.simulation.clicked` — ha cliccato su una simulazione senza segnalarla

Si tratta di esempi rappresentativi e non di una garanzia che ogni evento sia disponibile in ogni tenant. Consultate [come i dati delle integrazioni diventano segnali](/it/signals/data-sources).

## Cosa richiede Living Security

| Credenziale | Descrizione |
| - | - |
| **ID tenant** | L'UUID della directory (tenant) presente nell'interfaccia di amministrazione di Microsoft Entra |
| **ID cliente** | L'UUID dell'applicazione (client) assegnato al momento della registrazione dell'app |
| **Segreto client** | Una credenziale segreta generata nella registrazione dell'app — nella finestra di connessione questo campo è denominato **Chiave API** |
| **Host dell'API Graph** | Il nome host di Microsoft Graph (cloud commerciale: `graph.microsoft.com`) |
| **Host dell'autorità** | Il nome host dell'autorità di Microsoft Entra (cloud commerciale: `login.microsoftonline.com`) |

**Ambiti (autorizzazioni dell'applicazione):**

| Autorizzazione | Utilizzo |
| - | - |
| `User.Read.All` | Directory degli utenti |
| `SecurityAlert.Read.All` | Avvisi di sicurezza |
| `AuditLog.Read.All` | Log di accesso e dettagli di registrazione MFA |
| `Policy.Read.ConditionalAccess` | Dettagli dell'accesso condizionale per ogni accesso — quali criteri sono stati applicati e quali controlli di concessione hanno imposto. Il rilevamento dell'MFA dipende da questa autorizzazione |
| `AttackSimulation.Read.All` | Risultati di Attack Simulation Training |
| `Device.Read.All` | Oggetti dispositivo di Entra ID, inclusi i dispositivi non gestiti da Intune |
| `DeviceManagementManagedDevices.Read.All` | Dispositivi gestiti da Intune |
| `IdentityRiskEvent.Read.All` | Rilevamenti di rischio di Identity Protection, incluse le credenziali compromesse |
| `GroupMember.ReadWrite.All` | **Opzionale.** Azioni sull'appartenenza ai gruppi — consente a un Playbook di aggiungere una persona a un gruppo di Microsoft Entra ID o di rimuoverla da esso |

### Siete voi a decidere cosa può fare questa connessione

Questa connessione legge i dati. Può anche *eseguire azioni* nella vostra directory, ma solo se
decidete di consentirlo.

Tutte le autorizzazioni sopra elencate, tranne l'ultima, sono di sola lettura. Se concedete solo queste,
la connessione non potrà mai modificare nulla nel vostro tenant — la piattaforma lo rileva e
non offre affatto le azioni sui gruppi.

Aggiungete `GroupMember.ReadWrite.All` e le azioni sull'appartenenza ai gruppi diventeranno disponibili per l'uso nei
Playbook. Nulla viene avviato automaticamente: dovete comunque scegliere quali gruppi la
piattaforma può modificare (vedere di seguito) e creare un Playbook che li utilizzi.

Potete cambiare idea in qualsiasi momento. È sufficiente aggiungere o rimuovere un'autorizzazione in Microsoft Entra ID
e concedere nuovamente il consenso dell'amministratore: non è necessario reinserire le credenziali nella
piattaforma e le sincronizzazioni dei dati continuano a funzionare senza interruzioni. La modifica diventa effettiva entro circa
un'ora.

<Note>
  **Le azioni sull'appartenenza ai gruppi sono inoltre limitate ai gruppi da voi designati.** Dopo
  la connessione, un amministratore sceglie nella connessione un elenco esplicito di gruppi consentiti.
  Finché tale elenco non esiste, le azioni sui gruppi non sono disponibili, anche se l'autorizzazione è stata concessa,
  quindi `GroupMember.ReadWrite.All` non significa mai «qualsiasi gruppo del tenant».

  Scegliete con attenzione tali gruppi: evitate qualsiasi gruppo che conferisca ruoli amministrativi,
  accesso privilegiato o diritti di licenza.
</Note>

**Ruolo richiesto:** **Application Administrator** o **Global Administrator** in Microsoft Entra ID

<Note>
  **Due di queste autorizzazioni sono state introdotte di recente.** Se avete connesso Microsoft Entra ID prima che
  comparissero in questo elenco, aggiungetele alla registrazione dell'app esistente e **concedete nuovamente il consenso dell'amministratore** —
  Microsoft richiede che il consenso venga concesso di nuovo ogni volta che le autorizzazioni cambiano. Tutti gli altri flussi di dati
  continuano a funzionare normalmente nel frattempo.

  `Policy.Read.ConditionalAccess` — senza questa autorizzazione, Microsoft rimuove i dettagli dell'accesso condizionale
  da ogni record di accesso. Il record continua a indicare che un criterio di accesso condizionale è stato
  soddisfatto, ma l'elenco dei criteri risulta vuoto. Nulla genera errori e nessun avviso: i dati
  di accesso continuano ad arrivare e la connessione resta integra. La piattaforma semplicemente non riesce a stabilire quali accessi
  siano stati soddisfatti tramite l'autenticazione a più fattori, quindi l'attività MFA proveniente da questa connessione resta vuota.

  `IdentityRiskEvent.Read.All` — la lettura dei rilevamenti di rischio richiede anche una licenza **Microsoft Entra ID P1 o
  P2**. Il rilevamento delle credenziali compromesse è disponibile a ogni livello, incluso P1; i
  rilevamenti premium sono segnalati come `generic` per i livelli inferiori a P2.
</Note>

### Prerequisiti

* Per registrare le applicazioni e concedere il consenso dell'amministratore è necessario disporre dell'accesso **Application Administrator** o **Global Administrator** in Microsoft Entra ID.

***

## Parte A — In Microsoft Entra ID

*Questi passaggi vengono eseguiti dall'amministratore di Microsoft Entra ID.*

<Steps>
  <Step title="Registrare una nuova applicazione">
    1. Accedete all'[interfaccia di amministrazione di Microsoft Entra](https://entra.microsoft.com).
    2. Nel menu di navigazione a sinistra, selezionate **Entra ID** → **App registrations**.
    3. Fate clic su **New registration**.
    4. Inserite un nome significativo per l'app, ad esempio `Living Security Platform`.
    5. In **Supported account types**, selezionate **Accounts in this organizational directory only**.
    6. Lasciate vuoto il campo **Redirect URI** — questa integrazione utilizza il flusso delle credenziali client.
    7. Fate clic su **Register**.

    Dopo la registrazione, annotate i seguenti valori dalla pagina **Panoramica**:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Aggiungere le autorizzazioni dell'applicazione di Microsoft Graph">
    1. Nella pagina **Panoramica** dell'app, fate clic su **API permissions** nel menu a sinistra.
    2. Fate clic su **Add a permission**.
    3. Selezionate **Microsoft Graph**.
    4. Selezionate **Application permissions**.
    5. Cercate e selezionate ciascuna autorizzazione riportata di seguito, quindi fate clic su **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Aggiungete `GroupMember.ReadWrite.All` **solo se** desiderate che i Playbook possano modificare l'appartenenza ai gruppi. Omettetela per mantenere questa connessione in sola lettura.

    <Note>
      Queste sono le autorizzazioni minime per tutti i flussi di dati. Se intendete abilitare solo un sottoinsieme di flussi, potete omettere le autorizzazioni per i flussi che non utilizzerete.
    </Note>
  </Step>

  <Step title="Concedere il consenso dell'amministratore">
    Le autorizzazioni dell'applicazione richiedono il consenso esplicito dell'amministratore.

    1. Nella pagina **API permissions**, fate clic su **Grant admin consent for \<your tenant name>**.
    2. Nella finestra di conferma, fate clic su **Yes**.
    3. Verificate che ogni autorizzazione riporti **Granted** nella colonna **Status**.

    <Note>
      Se il pulsante **Grant admin consent** è disattivato, sono necessari i privilegi di **Privileged Role Administrator** o **Global Administrator**. Il consenso dell'amministratore deve essere concesso nuovamente ogni volta che aggiungete nuove autorizzazioni.
    </Note>
  </Step>

  <Step title="Creare un segreto client">
    1. Nella pagina **Panoramica** dell'app, fate clic su **Certificates & secrets** nel menu a sinistra.
    2. Fate clic sulla scheda **Client secrets**, quindi su **New client secret**.
    3. Inserite una descrizione (ad es. `Living Security Platform`).
    4. Scegliete una scadenza in linea con i vostri criteri di rotazione.
    5. Fate clic su **Add**.

    <Warning>
      **Copiate subito il valore del segreto.** Microsoft Entra ID mostra il segreto client completo una sola volta. Se lasciate la pagina prima di averlo copiato, dovrete eliminare il segreto e crearne uno nuovo.
    </Warning>

    Conservate il segreto in modo sicuro. Impostate un promemoria nel calendario per ruotarlo prima della scadenza — un segreto scaduto causa il fallimento delle sincronizzazioni con l'errore `401 Unauthorized`.
  </Step>

  <Step title="Determinare l'host dell'API Graph e l'host dell'autorità">
    Per la maggior parte delle organizzazioni che utilizzano il cloud commerciale, usate i valori predefiniti:

    | Campo | Valore per il cloud commerciale |
    | - | - |
    | **Host dell'API Graph** | `graph.microsoft.com` |
    | **Host dell'autorità** | `login.microsoftonline.com` |

    Per i cloud governativi o sovrani, utilizzate gli endpoint appropriati per il vostro ambiente.

    <Note>
      L'host dell'API Graph e l'host dell'autorità devono corrispondere: i token dell'autorità di un cloud non sono validi per l'endpoint Graph di un altro cloud.
    </Note>
  </Step>
</Steps>

***

## Parte B — In Living Security Platform

*Questo passaggio viene eseguito dal responsabile del programma oppure dall'amministratore di sistema, se è stato invitato nella piattaforma.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Campo | Valore |
    | - | - |
    | **Chiave API** | Il segreto client della Parte A, passaggio 4 |
    | **ID tenant Azure** | Il Directory (tenant) ID della Parte A, passaggio 1 |
    | **ID cliente** | L'Application (client) ID della Parte A, passaggio 1 |
    | **Host dell'API Graph** | `graph.microsoft.com` (o l'endpoint del vostro cloud) |
    | **Host dell'autorità** | `login.microsoftonline.com` (o l'endpoint del vostro cloud) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Finestra di connessione di Living Security per Microsoft Entra ID" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

La connessione a Microsoft Entra ID (Client Credentials) è ora attiva.

***

## Risoluzione dei problemi

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    Le credenziali non sono valide o sono scadute. Verificate che:

    1. Il segreto client non sia scaduto né sia stato sostituito
    2. L'ID tenant e l'ID cliente siano corretti
    3. L'host dell'autorità corrisponda al vostro ambiente cloud
  </Accordion>

  <Accordion title="403 Forbidden">
    Nella registrazione dell'app mancano autorizzazioni oppure il consenso dell'amministratore non è stato concesso. Verificate che:

    1. Tutte le autorizzazioni richieste siano elencate in **API permissions**
    2. Ogni autorizzazione riporti lo stato **Granted** (segno di spunta verde)
    3. Il consenso dell'amministratore sia stato concesso dopo l'aggiunta delle autorizzazioni

    <Note>
      Se avete aggiunto nuove autorizzazioni dopo il consenso iniziale, dovete concedere nuovamente il consenso dell'amministratore.
    </Note>
  </Accordion>

  <Accordion title="Risultati vuoti per specifici flussi di dati">
    Nell'app potrebbe mancare l'autorizzazione specifica per quel flusso:

    * Nessun utente → manca `User.Read.All`
    * Nessun avviso di sicurezza → manca `SecurityAlert.Read.All`
    * Nessun log di accesso → manca `AuditLog.Read.All`
    * Nessun risultato delle simulazioni di attacco → manca `AttackSimulation.Read.All`
    * Nessun dispositivo Entra ID → manca `Device.Read.All`
    * Nessun dispositivo gestito da Intune → manca `DeviceManagementManagedDevices.Read.All`
    * Nessun rilevamento di rischio → manca `IdentityRiskEvent.Read.All`, il consenso dell'amministratore non è stato concesso di nuovo dopo
      averla aggiunta, oppure il tenant ha una licenza inferiore al livello minimo Microsoft Entra ID P1
  </Accordion>

  <Accordion title="La richiesta del token non riesce con invalid_client">
    L'host dell'API Graph e l'host dell'autorità potrebbero non corrispondere. Entrambi devono fare riferimento allo stesso ambiente cloud (commerciale, governativo e così via).
  </Accordion>

  <Accordion title="Le azioni sui gruppi non compaiono in un Playbook">
    Le azioni sull'appartenenza ai gruppi vengono offerte solo quando sono vere tutte e tre le condizioni seguenti:

    1. `GroupMember.ReadWrite.All` è presente nella registrazione dell'app, con il consenso dell'amministratore concesso. Se l'avete aggiunta di recente, attendete fino a un'ora.
    2. Un amministratore ha designato un elenco di gruppi consentiti nella connessione.
    3. La connessione è attiva e integra.

    Se avete concesso l'autorizzazione e le azioni risultano ancora non disponibili, concedete nuovamente il consenso dell'amministratore — Microsoft lo richiede ogni volta che le autorizzazioni cambiano.
  </Accordion>

  <Accordion title="L'accesso condizionale blocca la connessione o le sue azioni">
    Se nel vostro tenant è presente un criterio di accesso condizionale basato sull'indirizzo IP, questo può bloccare le richieste
    che includono la credenziale di questa connessione. La maggior parte dei tenant non è interessata: per impostazione predefinita Microsoft Graph
    non applica restrizioni per indirizzo IP. Se applicate un criterio basato su IP per le entità servizio,
    questa integrazione richiede che vengano autorizzati **due** insiemi di indirizzi, perché la configurazione e la
    sincronizzazione dei dati partono da reti diverse.

    Living Security genera autonomamente il token di accesso di questa connessione e lo rinnova continuamente, quindi
    le richieste di token partono dagli indirizzi propri della piattaforma, non dagli indirizzi utilizzati dalle
    sincronizzazioni dei dati.

    Le azioni sui gruppi sono un caso a parte. Per impostazione predefinita seguono lo stesso percorso delle sincronizzazioni dei dati e partono
    dagli indirizzi di sincronizzazione. Passano agli indirizzi della piattaforma solo se un amministratore
    imposta la connessione sull'uscita diretta.

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Aggiungete entrambi gli insiemi alla **named location** che il vostro criterio di accesso condizionale considera attendibile o
    esclude. Le richieste di token raggiungono `login.microsoftonline.com` e le richieste di dati raggiungono
    `graph.microsoft.com`; entrambe devono essere autorizzate.

    Se solo gli indirizzi di sincronizzazione sono autorizzati, la configurazione non riesce durante l'ottenimento del token e non viene creata
    alcuna connessione. Se solo gli indirizzi della piattaforma sono autorizzati, la configurazione riesce e
    ogni sincronizzazione restituisce zero record.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.