Autenticazione con certificato nelle connessioni con Microsoft Entra ID

Questo articolo spiega come autenticare le connessioni di SMARTFENSE con Microsoft Entra ID tramite un certificato, come alternativa alla chiave segreta. Descrive i due modi per ottenere il certificato, come registrarlo nel portale di Microsoft, come rinnovarlo e cosa tenere presente quando si cambia metodo.

Che cos'è l'autenticazione con certificato

Le connessioni con Microsoft Entra ID possono autenticarsi con un certificato PKCS#12 invece che con una chiave segreta. Questa opzione permette di rispettare le policy che richiedono di eliminare i segreti condivisi.

• La chiave segreta resta disponibile. Può scegliere il metodo per ogni connessione.
• Uno stesso certificato può essere riutilizzato in più connessioni.
• La piattaforma invia un avviso via e-mail trenta giorni prima della scadenza del certificato.

Connessioni che supportano il certificato

La sincronizzazione e l'accesso non condividono più la credenziale. Ogni schermata conserva la propria, quindi configurarne una non modifica l'altra.

Prima di iniziare

Per configurare l'autenticazione con certificato sono necessari:

• Un ruolo con il permesso di modificare le configurazioni in SMARTFENSE.
• L'accesso al portale di Microsoft (Azure) per registrare la parte pubblica del certificato nell'applicazione corrispondente.
• Se utilizzerà un certificato proprio: un file PKCS#12 (.pfx o .p12) con chiave RSA e la relativa password.

Origine del certificato

Scegliendo il metodo Certificato, la piattaforma offre due opzioni in Origine del certificato:

• Certificato fornito dalla piattaforma: SMARTFENSE emette il certificato e conserva la sua chiave privata, che non lascia mai la piattaforma. Lei scarica solo la parte pubblica e la registra nel portale di Microsoft.
• Certificato proprio dell'organizzazione: Lei carica un certificato emesso dall'autorità di certificazione della Sua organizzazione. Scelga questa opzione se la policy della Sua organizzazione lo richiede.

Come configurare l'autenticazione con certificato

Opzione 1: certificato fornito dalla piattaforma

1. Acceda alla schermata della connessione che desidera configurare.
2. In Metodo di autenticazione, selezioni Certificato.
3. Completi i dati della connessione, ad esempio Dominio e ID applicazione.
4. In Origine del certificato, selezioni Certificato fornito dalla piattaforma.
5. Faccia clic su Genera e scarica certificato. Viene scaricata la parte pubblica del certificato (.cer).
6. Registri il file scaricato nel portale di Microsoft (vedere Registrare il certificato nel portale di Microsoft).
7. Salvi la configurazione e verifichi la connessione.

Opzione 2: certificato proprio dell'organizzazione

1. Acceda alla schermata della connessione che desidera configurare.
2. In Metodo di autenticazione, selezioni Certificato.
3. Completi i dati della connessione, ad esempio Dominio e ID applicazione.
4. In Origine del certificato, selezioni Certificato proprio dell'organizzazione.
5. In File del certificato, faccia clic su Sfoglia e selezioni il file .pfx o .p12, così come lo esporta l'archivio dei certificati della Sua organizzazione.
6. In Password del file, inserisca la password con cui è stato protetto il file.
7. Registri la parte pubblica del certificato nel portale di Microsoft (vedere Registrare il certificato nel portale di Microsoft). Se non ne dispone, la richieda al team che gestisce i certificati della Sua organizzazione.
8. Salvi la configurazione e verifichi la connessione.

La password del file viene utilizzata solo per aprirlo: la piattaforma non la conserva.

Riutilizzare un certificato già caricato

Se ha già caricato un certificato in un'altra connessione, può utilizzarlo senza caricare di nuovo il file:

1. In Origine del certificato, selezioni Certificato proprio dell'organizzazione.
2. Faccia clic su Utilizza certificato precaricato.
3. Nella finestra Certificati caricati nell'organizzazione, scelga il certificato con cui si autenticherà la connessione.
4. Salvi la configurazione e verifichi la connessione.

Per ogni certificato, la finestra mostra la Scadenza, l'Impronta digitale e le Connessioni che lo utilizzano.

Verifichi che la parte pubblica del certificato sia registrata nell'applicazione di Microsoft utilizzata da questa connessione. Può confrontare l'Impronta digitale mostrata dalla piattaforma con quella mostrata nel portale di Microsoft.

Registrare il certificato nel portale di Microsoft

1. Acceda al portale di Azure: https://portal.azure.com.
2. Vada in Microsoft Entra ID > Registrazioni app e selezioni l'applicazione utilizzata dalla connessione.
3. Nel menu laterale, selezioni Certificati e segreti.
4. Nella scheda Certificati, faccia clic su Carica certificato.
5. Selezioni il file .cer e inserisca una Descrizione, ad esempio SMARTFENSE.
6. Faccia clic su Aggiungi.

Il portale di Microsoft registra solo la parte pubblica del certificato. La chiave privata non viene mai consegnata a Microsoft.

Rinnovare un certificato

1. Acceda a una qualsiasi delle connessioni che utilizzano il certificato.
2. Carichi il nuovo file sul certificato esistente.
3. Registri la nuova parte pubblica nel portale di Microsoft.

Il rinnovo si applica a tutte le connessioni che utilizzano quel certificato.

La piattaforma invia un avviso via e-mail trenta giorni prima della scadenza agli amministratori con il permesso di modificare le configurazioni.

Considerazioni

• Cambio di metodo: passando dalla chiave segreta al certificato, la chiave segreta viene conservata inattiva per poter tornare indietro.
• Aggiornamento della piattaforma: il giorno dell'aggiornamento non cambia nulla. La credenziale attuale viene copiata nella sincronizzazione e nell'accesso.
• Eliminazione: può essere eliminato solo un certificato non utilizzato da nessuna connessione.
• Istanze figlie: i certificati non vengono ereditati dalle istanze figlie. Ogni istanza deve configurare i propri.
• Direct Message Injection: quando cambia metodo o rinnova il certificato, deve ripetere la verifica di consegna.

💡 Buone pratiche

• Utilizzare il certificato fornito dalla piattaforma, salvo che la policy della Sua organizzazione richieda certificati emessi dalla propria autorità di certificazione.
• Riutilizzare lo stesso certificato in più connessioni per semplificare il rinnovo.
• Registrare la parte pubblica in tutte le applicazioni di Microsoft che utilizzano il certificato prima di salvare la configurazione.
• Pianificare il rinnovo appena si riceve l'avviso di scadenza, senza attendere la data limite.
• Verificare la connessione dopo ogni cambio di metodo o rinnovo.
• Controllare in Utilizza certificato precaricato quali connessioni utilizzano ogni certificato prima di rinnovarlo o eliminarlo.