In questa guida spiego nel dettaglio come si configurano le Unità Amministrative di Microsoft Entra ID dal portale di amministrazione Microsoft 365.

Per procedere alla creazione di una Unità Amministrativa in Microsoft Entra ID, è necessario seguire questi passaggi:

1. Collegarsi al portale https://admin.microsoft.com con un’utenza avente i permessi amministrativi.

2. Cliccare sulla voce Ruoli.

3. Cliccare sulla voce Unità amministrative.

4. Cliccare su Aggiungi unità.

5. A questo punto verrà richiesto di inserire il nome dell’Unità Amministrativa.

6. Inserire quindi una descrizione dell’Unità Amministrativa.

7. Cliccare su Avanti.

8. A questo punto potremo scegliere come caricare gli utenti all’interno della nostra Unità Amministrativa.

   Abbiamo infatti due possibilità:

   • Aggiungi fino a 20 utenti e gruppi
   • Carica utente

8.A Aggiungi fino a 20 utenti e gruppi

Se avremo scelto Aggiungi fino a 20 utenti e gruppi, potremo selezionare al massimo 20 utenti e/o gruppi presenti all’interno di Microsoft Entra ID, utilizzando i due link messi a disposizione dall’interfaccia.

Nota Importante

In fase di configurazione suggerisco di andare a creare dei gruppi dinamici che si autopopolano qualora un gruppo, un utente o un device abbia una specifica configurazione a livello di attributi.

Suggerisco questo approccio perché avere delle Unità Amministrative con molti gruppi al loro interno le rende difficilmente gestibili.

Qualora la configurazione venga gestita tramite gruppi dinamici, l’effort di gestione e manutenzione da parte degli amministratori si abbassa notevolmente.

Se non si volessero creare gruppi dinamici, ma si volesse comunque gestire in maniera dinamica l’assegnazione dei membri, è possibile utilizzare direttamente l’interfaccia di Microsoft Entra ID.

Da qui, come mostrato nell’immagine seguente, è infatti possibile abilitare la popolazione dell’Unità Amministrativa sulla base di filtri dinamici definiti dall’amministratore.

Qualora diventasse necessario, è possibile in qualsiasi momento andare a modificare l’assegnazione dell’unità amministrativa, utilizzando i gruppi dinamici solo dal portale di Entra ID

8.B Carica utente

Se avremo scelto Carica utente, potremo invece procedere a scaricare prima il file di esempio, che dovremo compilare con un massimo di 200 utenti e gruppi, per poi procedere al caricamento del file.

9. Una volta scelto come caricare gli utenti nella nostra Unità Amministrativa, dovremo cliccare su Avanti.

10. Dovremo quindi scegliere quali ruoli assegnare a questa specifica Unità Amministrativa.

Nota Importante

Non tutti i ruoli di Microsoft Entra ID possono essere assegnati a una specifica Unità Amministrativa.

Solo i seguenti ruoli risultano infatti disponibili:

• Authentication Administrator
• Attribute Assignment Administrator
• Attribute Assignment Reader
• Cloud Device Administrator
• Groups Administrator
• Helpdesk Administrator
• License Administrator
• Password Administrator
• Printer Administrator
• Privileged Authentication Administrator
• SharePoint Administrator
• Teams Administrator
• Teams Devices Administrator
• User Administrator

11. Scegliere quindi il ruolo che si vuole assegnare, cliccando su di esso.

12. Cliccare sulla voce Assegna amministratori.

13. Verrà quindi aperta una nuova finestra nella quale dovremo cliccare sulla voce Assegnato, per poter scegliere l’utente che avrà quel permesso sulla specifica Unità Amministrativa.

14. Clicchiamo quindi su Aggiungi utente.

15. Selezioniamo quindi gli utenti che avranno quel permesso sulla specifica Unità Amministrativa.

Nota Importante

In questo passaggio potrebbe essere che non compaiano tutti gli utenti del tenant.

Questo può accadere perché, se un utente dispone già di un determinato ruolo, per alcune incompatibilità non potrà essere assegnato con un permesso restrittivo sulla specifica Unità Amministrativa.

16. A questo punto, una volta scelti gli utenti, clicchiamo su Aggiungi.

17. Una volta aggiunto l’utente, potremo cliccare sulla voce Autorizzazioni per verificare nello specifico quali permessi verranno assegnati a quell’utente sul contenuto della nostra Unità Amministrativa.

18. una volta terminata la configurazione dei ruoli e degli assegnatari ed aver verificato che tutto sia ok, potremo cliccare su “Chiudi” per continuare la configurazione della nostra unità Amministrativa

Fatto questo, potremo ripetere i passaggi dal punto 11 al punto 17 per aggiungere altri ruoli ed eventuali altri utenti.

19. Una volta assegnati tutti i ruoli necessari, dovremo cliccare su Avanti.

20. A questo punto Microsoft ci mostrerà il riepilogo di quanto impostato per questa Unità Amministrativa.

21. Se tutto sarà a posto, potremo procedere cliccando su Aggiungi.

22. A questo punto la nostra Unità Amministrativa sarà pronta.

Nota Importante

Una volta creata l’Unità Amministrativa, tutti i vari Global Administrator potranno comunque interagire con il contenuto di questa.

Se si vuole restringere ulteriormente la configurazione e fare in modo che solo gli specifici amministratori definiti nella configurazione abbiano la possibilità di gestire i membri dell’Unità Amministrativa, sarà necessario intervenire direttamente dal portale di Microsoft Entra ID.

In questo portale sarà infatti possibile vedere e selezionare il campo “unità amministrative di gestione con restrizioni” (la traduzione in italiano della feature è pessima quindi la indico qui in inglese in modo che sia maggiormente chiara “Restricted management administrative unit”)

Di default, creando l’Unità Amministrativa dal portale admin.microsoft.com, questa impostazione viene lasciata su disabilitata e, soprattutto, non vi è la possibilità di modificarla. Se quindi si vuole procedere con una configurazione più restrittiva, sarà necessario passare dal portale di Microsoft Entra ID.

---

Per approfondire quanto spiegato in questa guida, puoi guardare il mio video su YouTube, dove illustro e racconto tutti i concetti sopra descritti.

Guarda il video qui