Un break glass account in Microsoft Entra ID è un account amministrativo di emergenza progettato per garantire l'accesso al tenant quando tutti gli altri meccanismi di autenticazione falliscono. Non è un account ordinario con privilegi elevati: è l'ultima linea di difesa quando Conditional Access, MFA e PIM sono irraggiungibili o mal configurati.
Questa guida raccoglie le best practice operative per configurarlo correttamente, evitare gli errori più comuni e mantenerlo funzionante nel tempo.
Quando serve un break glass account Microsoft
Gli scenari in cui un break glass account diventa indispensabile sono più frequenti di quanto si pensi:
- Una policy di Conditional Access mal configurata blocca tutti gli amministratori
- Il provider MFA è irraggiungibile
- Un account amministrativo privilegiato viene compromesso o disabilitato
- Un incidente di sicurezza richiede intervento immediato senza poter completare il normale processo di autenticazione
In tutti questi casi, senza un account di emergenza correttamente configurato, il ripristino del tenant richiede il coinvolgimento diretto del Supporto Microsoft, con tempi che possono variare da ore a giorni.
Quanti break glass account servono e come configurarli
Microsoft raccomanda di creare almeno due account distinti. Un singolo account introduce un punto di guasto unico incompatibile con una strategia di resilienza seria.
I requisiti di base sono:
| Parametro | Configurazione consigliata |
| Dominio | onmicrosoft.com (mai il dominio aziendale) |
| Naming | Prefisso descrittivo: BreakGlass01, BreakGlass02 |
| Ruolo | Global Administrator, assegnazione permanente e attiva |
| Associazione persona | Nessuna — account non personale |
| Uso quotidiano | Mai — solo emergenze |
Il dominio onmicrosoft.com è un requisito non negoziabile: i domini personalizzati dipendono da DNS esterni che potrebbero essere irraggiungibili proprio durante un'emergenza. Il dominio predefinito di Microsoft è sempre risolvibile indipendentemente dallo stato dell'infrastruttura aziendale.
Break glass account Entra ID: le best practice di configurazione
1. Autenticazione phishing-resistant
Con la Secure Future Initiative (SFI) di Microsoft, in vigore dal 2025, i portali di amministrazione richiedono obbligatoriamente MFA. Il modello precedente (account di emergenza completamente esclusi da qualsiasi autenticazione) non è più compatibile.
La soluzione corretta è usare metodi di autenticazione phishing-resistant:
- FIDO2 hardware key (es. YubiKey 5): metodo consigliato. Registrare almeno due chiavi per account, conservate in luoghi fisicamente separati — una cassaforte interna, una off-site o in cassetta di sicurezza bancaria.
- Certificate-Based Authentication (CBA): alternativa valida, basata su certificati su smart card o token hardware, con CA on-premises indipendente dal tenant Microsoft 365.
Da evitare: Microsoft Authenticator e codici TOTP come unico metodo. Entrambi dipendono da un dispositivo funzionante e da connettività, due condizioni che potrebbero mancare esattamente in uno scenario di emergenza.
2. Role-Assignable Security Group
Inserire entrambi gli account in un gruppo di sicurezza dedicato (Entra-Security-User-BreakGlassAccounts) con la proprietà "I ruoli Microsoft Entra possono essere assegnati al gruppo" abilitata. Questo gruppo diventa il punto di controllo centralizzato per le esclusioni dalle Conditional Access Policy e per la gestione degli AAGUID.
Il gruppo non deve avere Owner configurati, e solo un amministratore con ruolo Privileged Role Administrator deve poterne modificare l'appartenenza.
3. Restricted Management Administrative Unit (RMAU)
La RMAU è il livello di protezione più elevato disponibile in Entra ID. Impedisce qualsiasi modifica agli oggetti protetti, inclusa da parte dei Global Administrator, a meno che non siano stati esplicitamente assegnati come amministratori dell'unità.
Aggiungere alla RMAU entrambi gli account break glass e il gruppo di sicurezza dedicato. Verificare la configurazione tentando una modifica da un account non autorizzato: l'operazione deve essere bloccata automaticamente.
4. Conditional Access: esclusione e policy dedicata
Ogni policy di Conditional Access esistente nel tenant deve escludere esplicitamente il gruppo break glass. Ogni esclusione va documentata nel runbook operativo.
Configurare poi una policy dedicata esclusivamente agli account di emergenza:
- Utenti inclusi: solo il gruppo break glass
- App: All resources
- Grant: Authentication Strength personalizzata "Phishing-Resistant – Break Glass" basata su FIDO2 con restrizioni AAGUID
- Sessione: sign-in frequency impostata su ogni accesso, persistent browser session disabilitata
Non applicare mai agli account break glass: compliant device requirement, Hybrid Azure AD Join, filtri location-based, filtri sign-in risk. Qualsiasi dipendenza da condizioni esterne rischia di rendere l'account inaccessibile proprio quando serve.
Scarica la guida completa alla configurazione
Se stai configurando break glass account in Microsoft Entra ID, abbiamo preparato una guida pratica in PDF con tutte le istruzioni passo dopo passo: nomenclatura, autorizzazioni, RMAU, metodi di autenticazione, Conditional Access, monitoraggio e checklist di validazione finale.
Monitoraggio e alerting: la parte che viene sempre trascurata
Qualsiasi accesso effettuato tramite un account break glass è un evento di sicurezza ad alta criticità. Il monitoraggio non è opzionale.
La configurazione minima prevede:
- Abilitare i Diagnostic Settings in Microsoft Entra (SignInLogs, AuditLogs, RiskyUsers) con destinazione Log Analytics Workspace
- Creare un alert su Azure Monitor con query custom che intercetti i sign-in degli account break glass tramite Object ID
- Impostare la logica dell'alert: threshold 0, frequency di valutazione ogni 5 minuti, severità 0 – Critical
- Configurare un Action Group per notifica immediata ai responsabili della sicurezza
Un account di emergenza non monitorato è un vettore di compromissione potenziale: se qualcuno lo usa senza che nessuno lo sappia, il danno può essere enorme prima che venga rilevato.
Procedure operative: test e rotazione
La configurazione è solo il punto di partenza. Un break glass account non testato potrebbe essere inutilizzabile nel momento in cui è realmente necessario.
Test mensile obbligatorio:
- Accedere con entrambi gli account da un dispositivo pulito e attendibile
- Verificare che l'alert di monitoraggio venga generato entro 5 minuti
- Effettuare logout e confermare l'assenza di sessioni residue
- Documentare: data, esecutore, esito, eventuali anomalie
Rotazione delle credenziali:
- Ruotare le registrazioni FIDO2 ogni 90 giorni
- Rotazione immediata dopo qualsiasi utilizzo effettivo
- Verificare che le credenziali precedenti non siano più valide
Conservazione fisica:
- Passphrase/PIN e chiavi hardware in cassaforte fisica, in busta sigillata antimanomissione
- Secondo set in posizione geograficamente separata
- Accesso limitato a massimo due persone nominate (responsabili sicurezza o C-level)
- Mai in password manager, drive condivisi o storage cloud
Errori comuni nella configurazione dei break glass account
| Errore | Conseguenza |
| Usare Microsoft Authenticator come unico metodo | Inaccessibile se il dispositivo è perso o offline |
| Configurare un solo account | Punto di guasto unico — nessuna ridondanza |
| Applicare le stesse Conditional Access degli altri admin | Rischio di lockout completo del tenant |
| Non testare periodicamente | L'account potrebbe essere inutilizzabile quando serve |
| Conservare le credenziali in strumenti cloud | Dipendenza da servizi che potrebbero essere offline |
| Associare l'account a una persona reale | L'account diventa inutilizzabile se quella persona non è disponibile |
Checklist di validazione
Prima di considerare la configurazione completata, verificare ogni punto:
- [ ] Almeno due account break glass creati
- [ ] Dominio onmicrosoft.com
- [ ] Global Administrator assegnato in modo permanente e attivo (non eligible)
- [ ] Role-Assignable Security Group configurato senza Owner
- [ ] RMAU configurata e testata
- [ ] Almeno due dispositivi FIDO2 registrati per ogni account
- [ ] Esclusione da tutte le Conditional Access policy esistenti documentata
- [ ] Policy di Conditional Access dedicata configurata
- [ ] Monitoraggio e alert attivi e testati
- [ ] Runbook operativo offline predisposto e aggiornato
🔧Come Nexsys può darti supporto
Molte aziende chiedono aiuto per valutare se la loro strategia di emergenza è davvero solida.
In Nexsys lavoriamo ogni giorno con Microsoft 365 ed Entra ID e possiamo aiutarti a costruire un modello affidabile fatto di breakglass sicuri, Conditional Access coerenti, MFA robusta e identità di servizio gestite secondo le best practice.
Verifichiamo lo stato del tuo tenant con test reali e un report dettagliato, così sai dove intervenire.
🚀 Servizi utili per iniziare
- Confrontati con un esperto Nexsys per capire come migliorare la sicurezza e la gestione del tuo tenant Microsoft 365.
- Security Assessment Microsoft 365: revisione completa di sicurezza, identità e accessi per proteggere il tuo ambiente.
- Servizi gestiti Microsoft 365: monitoraggio continuo, aggiornamenti e interventi proattivi per garantire operatività e sicurezza.
🎓 Formazione e corsi
- Corso Identity & Access Security per Microsoft 365: formazione specifica per proteggere gli account e gestire i privilegi in Entra ID.
- Richiedi una formazione personalizzata per il tuo team IT: corsi su misura per esigenze aziendali, gestione accessi e sicurezza avanzata.