CG3 - Configurare un tenant Microsoft con SSO e provisioning (Entra ID)

Questa guida descrive come configurare le General Settings di LibraCyber per un'organizzazione che utilizza un tenant Microsoft 365 con Microsoft Entra ID (Azure AD) e Single Sign-On (SSO). Copre la concessione dei consensi Microsoft, il provisioning degli utenti dalla directory, la configurazione di Company Scan, la mappatura di gruppi e reparti, la gestione degli amministratori e le integrazioni (Webhook e Microsoft Defender).

NOTA: questa guida presuppone come identity provider Microsoft Entra ID, SSO già attivo e provisioning automatico tramite consenso applicativo nel tenant Microsoft (nessun import via CSV). Se l'organizzazione usa Google Workspace, Okta o provisioning solo via CSV, fare riferimento alla guida completa di General Settings.

Pubblico	Amministratore del cliente, MSP, integratore.
Ruolo richiesto	Amministratore Microsoft con privilegi per concedere il consenso applicativo a livello di tenant (tipicamente Global Administrator o ruolo abilitato al consenso amministrativo); amministratore LibraCyber con il permesso Edit permissions per gestire gli altri admin.
Tempo stimato	30–45 minuti.
Difficoltà	Intermedia.
Ambiente testato	Tenant Microsoft 365 con Entra ID (Azure AD) e SSO abilitato.
Ultima verifica	Giugno 2026.
Owner	USO INTERNO Solutions / Integration Engineer, con verifica periodica.

• Un tenant Microsoft 365 con Microsoft Entra ID (Azure AD).
• SSO già attivo per l'accesso alla piattaforma LibraCyber.
• Un account amministratore Microsoft con privilegi sufficienti per concedere i consensi applicativi a livello di tenant.
• Un account amministratore LibraCyber con il permesso Edit permissions (necessario per aggiungere admin e assegnare permessi).
• Licenze Microsoft assegnate agli utenti da sincronizzare.
• Per il recapito delle email di simulazione e transazionali: recapito configurato in modalità API (in alternativa a SMTP).
• Per le integrazioni: raggiungibilità del portale Microsoft Defender (security.microsoft.com) da parte dell'amministratore.

• I consensi applicativi Microsoft valgono per l'intero tenant. Concederli solo tramite un amministratore autorizzato: abilitano LibraCyber a leggere utenti/gruppi, recapitare email e (per Smart Banners) elaborare le email in ingresso.
• Il primo provisioning può disattivare utenti fuori ambito. Per impostazione predefinita vengono provisionati tutti gli utenti con licenza e tutte le shared mailbox (queste ultime escluse dai moduli di awareness). Verificare gruppi ed esclusioni prima del primo run.
• La disattivazione degli utenti è reversibile (soft): l'utente perde l'accesso ma i dati storici restano; se ricompare nella directory viene riattivato al sync successivo.
• Senza il consenso di Email injection, per i tenant in modalità API le email di simulazione e transazionali non vengono recapitate.
• Non è richiesta una finestra di manutenzione: le operazioni hanno impatto contenuto sugli utenti finali.

Dal menu laterale aprire General Settings. La sezione è organizzata in schede: Setup Checklist, Office Users Provisioning, User Management, Company Scan, Groups & Departments, Admins, Integrations.

Passo 1 — Consultare la Setup Checklist. La scheda Setup Checklist è una guida passo-passo che riepiloga lo stato di completamento della configurazione iniziale. Ogni voce mostra lo stato e reindirizza alla scheda corrispondente.

Passo 2 — Concedere i consensi Microsoft. Nella scheda Office Users Provisioning (denominata così per i tenant Microsoft) sono disponibili tre consensi da concedere in base ai moduli attivi.

Pulsante	Permesso	Richiesto per
Grant User Sync Consent to LibraCyber	Permessi di provisioning	Tutti i moduli — sincronizzazione di utenti e gruppi da Entra ID.
Grant Direct Message Injection Consent to LibraCyber	Permessi di Email injection	Recapito delle email per le organizzazioni configurate in modalità API (non SMTP): simulazioni di phishing e altre email transazionali (avvisi e feedback sulle minacce, promemoria di awareness, email di test dei banner, email di onboarding…).
Grant Email Process Consent to LibraCyber	Permessi di elaborazione email	Modulo Smart Banners — lettura per l'analisi dei segnali e scrittura per apporre i banner sulle email sospette.

NOTA: per impostazione predefinita il provisioning viene applicato a tutti gli utenti con licenza e a tutte le shared mailbox; le shared mailbox sono escluse dai moduli di awareness.

Passo 3 — (Opzionale) Definire l'ambito del provisioning.

Nella sezione Excluded users è possibile escludere esplicitamente singoli utenti dal provisioning. Utile soprattutto quando si sceglie di includere anche utenti senza licenza, per evitare voci indesiderate nella lista.

Nella sezione Provisioned groups è possibile indicare i gruppi della directory da importare: verranno provisionati solo gli utenti appartenenti ai gruppi elencati.

Passo 4 — Avviare il provisioning. È possibile avviare la sincronizzazione in qualsiasi momento con il pulsante Start User Provisioning (sync immediato). Abilitando il daily user provisioning la sincronizzazione viene eseguita automaticamente una volta al giorno: è la modalità consigliata, così le modifiche apportate alla directory vengono recepite alla sincronizzazione successiva, senza azioni manuali.

NOTA: deprovisioning — a ogni run gli utenti presenti in LibraCyber ma non più presenti in Entra ID (o non più inclusi nell'ambito / nei gruppi selezionati) vengono disattivati (deprovisioning soft), non eliminati. Se l'utente ricompare nell'ambito della directory, la sincronizzazione successiva lo riattiva.

Passo 5 — Verificare gli utenti in User Management. La scheda User Management elenca tutti gli utenti provisionati. Lo stato Active è prerequisito per l'accesso a qualunque modulo LibraCyber.

Passo 6 — Completare Company Scan. La scheda Company Scan raccoglie le informazioni generali dell'organizzazione, riutilizzate in vari contesti: simulazioni di phishing, lezioni di awareness, test dei banner.

Company Info

• Name: nome dell'organizzazione.
• Company Logo: logo dell'organizzazione (max 2 MB, qualsiasi formato immagine). Per una resa nitida nelle email si consiglia un logo orizzontale di circa 400×100 px o inferiore. Il pulsante preview logo apre una pagina di test che mostra il logo in alto a sinistra.
• URL: sito web dell'organizzazione (informativo).
• Domain: dominio dell'organizzazione (informativo).

Key people — i riferimenti aziendali (es. CEO, HR Director) sono utilizzati da più prodotti:

• Simulazioni: le simulazioni di spear phishing possono citare o impersonare i key people. Se il campo è vuoto, i template corrispondenti vengono esclusi dal catalogo.
• Banners: usati per l'invio dei banner demo (una email di esempio impersona il CEO) e per un segnale di rilevamento basato sui key people. ATTENZIONE: se le informazioni del CEO sono mancanti, la funzione di invio delle email di esempio restituisce un errore.
• Awareness: HR Director e CEO sono gli unici key people utilizzabili nelle lezioni del chatbot. In fase di personalizzazione di una lezione è possibile usare le macro dei key people.

Se i campi Key people sono vuoti, le lezioni che li utilizzano mostrano un valore segnaposto (in inglese, non tradotto):

Macro	Valore mostrato se il campo è vuoto
ceo_first_name	My_CEO_first_name
ceo_last_name	My_CEO_last_name
hr_director_first_name	My_HR_director_first_name
hr_director_last_name	My_HR_director_last_name

NOTA: per un POC o un test, è sufficiente inserire un utente qualsiasi al posto del CEO. In alternativa, per l'awareness, non sottoscrivere i corsi/le lezioni che usano la macro problematica, oppure clonare e modificare il contenuto per rimuovere o cambiare la macro.

Company signature — la firma aziendale può essere personalizzata dagli amministratori per rispecchiare il branding dell'organizzazione e viene riutilizzata nei template di simulazione che la richiamano.

Key customers — i clienti chiave possono essere aggiunti dagli amministratori per aumentare il realismo delle simulazioni di phishing.

Passo 7 — Mappare Groups & Departments. La scheda Groups & Departments consente di associare i gruppi della directory ai reparti (Department) personalizzati di LibraCyber.

NOTA: una volta importati tramite provisioning, i gruppi devono essere assegnati ai reparti. I reparti sono creati manualmente dagli amministratori e assegnati al gruppo corrispondente. Un utente appartiene a tutti i reparti derivanti dai gruppi di cui fa parte: può quindi trovarsi in più reparti, oppure in nessuno.

Passo 8 — Gestire gli Admins. La scheda Admins consente di aggiungere nuovi amministratori e di concedere o revocare loro permessi specifici.

NOTA: solo gli amministratori con il permesso Edit permissions possono concedere o revocare permessi ad altri admin. I permessi non vengono assegnati automaticamente alla creazione o promozione di un admin: un nuovo amministratore parte con zero permessi finché non gli vengono assegnati esplicitamente in questa scheda.

Di seguito i permessi assegnabili agli amministratori dalla console:

Permesso	Area	Cosa consente
Edit permissions	Permissions	Aggiungere e rimuovere permessi ad altri utenti (non è possibile modificare i propri).
Risk Score	Risk Score	Accesso al Risk Score trasversale ai prodotti; include i 5 permessi di lettura per singolo prodotto.
Corporate Admin	Corporate	Navigare tra le società del gruppo e accedere alle dashboard aggregate corporate.
Dashboard	Cyber Awareness	Accesso alla dashboard Cyber Awareness dell'organizzazione.
Manage Users	Cyber Awareness	Gestione degli utenti.
Lessons Admin	Cyber Awareness	Gestione dei contenuti e delle assegnazioni delle lezioni.
Setup	Cyber Awareness	Accesso alle preferenze e al setup del chatbot.
Export certificates	Cyber Awareness	Esportazione dei certificati di completamento delle lezioni.
Dashboard	Phishing Simulation	Accesso alla dashboard Phishing Simulation dell'organizzazione.
Custom Campaign	Phishing Simulation	Creazione e invio di campagne di phishing personalizzate.
Audit	Phishing Simulation	Accesso alla pagina di audit delle simulazioni.
Setup	Phishing Simulation	Accesso alle preferenze e al test di recapito delle simulazioni.
Video Training Admin	Video Training	Gestione dei contenuti di video training.
Smart Banners	Smart Banners	Accesso alla sezione Smart Banners.
Browser Defender	Browser Defender	Accesso alla sezione Browser Defender.
Threats	Threats	Visualizzare e categorizzare le email reali segnalate dagli utenti.
General Settings	General Settings	Accesso alla lista utenti e gestione del provisioning dalla directory.
Company Scan	General Settings	Gestione delle informazioni aziendali, della mappatura gruppi/reparti e dell'attribuzione SaaS.

Passo 9 — Configurare le Integrations. La scheda Integrations raccoglie impostazioni e istruzioni per le integrazioni opzionali.

API e Webhook. La sezione fornisce il link alla documentazione tecnica delle API. Tramite i Webhook è possibile far recapitare le notifiche di LibraCyber a un'applicazione di terze parti: l'amministratore configura un webhook nell'app di terze parti e ne inserisce l'URL nelle impostazioni. Gli eventi generati in LibraCyber vengono instradati verso quell'URL.

Attualmente è disponibile un evento webhook:

• Threat reported: inviato a ogni nuova minaccia segnalata da un utente (equivalente della notifica email di minaccia segnalata). Payload: data della segnalazione, ID della minaccia, URL della minaccia.

Integrazione Microsoft Defender. L'integrazione con MS Defender consente di:

• inoltrare automaticamente le segnalazioni degli utenti da LibraCyber a MS Defender (Threat Submission);
• bloccare mittenti o domini direttamente dalla console LibraCyber (Tenant Allow/Block List — TABL).

MS Defender — Threat submission. Invia a Microsoft Defender le minacce segnalate dagli utenti (tramite il pulsante di segnalazione, il componente aggiuntivo o gli altri canali di report). Le minacce compaiono in Microsoft Defender sotto Submissions > Email, agevolando la remediation per le organizzazioni che usano Defender. Richiede il relativo consenso.

MS Defender — Blocco di mittenti/domini (TABL). Dopo aver concesso il permesso e configurato il tenant Microsoft, è possibile bloccare mittenti e domini direttamente dalla console LibraCyber. I mittenti e i domini bloccati compaiono nella Tenant Allow/Block List di Microsoft (raggiungibile su security.microsoft.com/tenantAllowBlockList).

Setup. L'amministratore deve abilitare il permesso e completare la documentazione di setup dedicata.

• Nella scheda Office Users Provisioning i tre consensi mostrano l'indicazione Already granted.
• Dopo Start User Provisioning, gli utenti attesi compaiono in User Management con stato Active.
• Nella Setup Checklist la voce "Map groups to departments" risulta completata e i gruppi sono associati ai reparti in Groups & Departments.
• (Smart Banners) i banner compaiono sulle email in ingresso; (Simulazioni in modalità API) una simulazione di test viene recapitata correttamente.
• (MS Defender) una segnalazione di test compare in Submissions > Email di Microsoft Defender; un mittente/dominio bloccato dalla console compare nella Tenant Allow/Block List.

Sintomo	Causa	Soluzione
Le email di simulazione o transazionali non vengono recapitate.	Consenso di Email injection mancante (tenant in modalità API).	Concedere Grant Direct Message Injection Consent to LibraCyber in Office Users Provisioning.
La funzione di invio delle email di esempio (banner demo) restituisce un errore.	Informazioni del CEO mancanti in Company Scan.	Compilare i campi Key people (CEO); per un POC inserire un utente qualsiasi come CEO.
Utenti attesi assenti dopo il provisioning.	Utenti fuori dai Provisioned groups, privi di licenza o presenti tra gli Excluded users.	Verificare i gruppi provisionati, le licenze e la lista di esclusione.
Voci indesiderate nella lista utenti.	Inclusione di utenti senza licenza.	Aggiungere gli utenti indesiderati tra gli Excluded users.
Nelle lezioni compaiono segnaposto come "My_CEO_first_name".	Campi Key people vuoti.	Compilare i campi Key people in Company Scan.
Un utente non riesce ad accedere ai moduli.	Stato diverso da Active in User Management.	Verificare che l'utente sia presente nella directory e nell'ambito di provisioning; rieseguire la sincronizzazione.
I banner non compaiono sulle email.	Consenso di Email Process mancante.	Concedere Grant Email Process Consent to LibraCyber.

• Ridurre l'ambito (reversibile): rimuovere gruppi dai Provisioned groups o aggiungere utenti agli Excluded users. Al sync successivo gli utenti fuori ambito vengono disattivati (soft), con i dati storici conservati.
• Fermare la sincronizzazione automatica: disabilitare il daily user provisioning.
• Rimuovere admin o permessi: dalla scheda Admins (richiede il permesso Edit permissions).
• Revocare i consensi Microsoft (irreversibile negli effetti): la revoca del consenso applicativo lato tenant Microsoft interrompe rispettivamente provisioning, recapito email e banner. La revoca si effettua dal portale Microsoft Entra ID, nella gestione delle applicazioni aziendali.
• Pulizia dati: la disattivazione è soft e non elimina dati. Per rimozioni definitive contattare il supporto.

NOTA: il rollback non richiede azioni da parte degli utenti finali, salvo un nuovo consenso amministrativo qualora si revochino e si vogliano ripristinare i permessi Microsoft.

• I consensi concessi sono permessi applicativi OAuth a livello di tenant (Microsoft Graph): sincronizzazione utenti/gruppi (lettura), Email injection (recapito nelle caselle), Email Process (lettura/scrittura sulle email in ingresso per i banner). Nessuna password viene condivisa con LibraCyber.
• Nessun segreto da gestire manualmente: l'autorizzazione avviene tramite il consenso OAuth di Microsoft; i consensi sono revocabili in qualsiasi momento dal portale Microsoft e non richiedono rotazione manuale.
• Principio del privilegio minimo: limitare l'ambito con Provisioned groups ed Excluded users e assegnare agli amministratori solo i permessi necessari (i nuovi admin partono senza permessi).
• Audit: le concessioni di consenso sono tracciate nel log di audit del tenant Microsoft (Entra ID / Defender); le modifiche ai permessi degli admin avvengono in modo controllato tramite la scheda Admins.

• Il provisioning automatico giornaliero mantiene allineati utenti e gruppi con la directory; verificare periodicamente che resti abilitato.
• Rivedere periodicamente Provisioned groups, Excluded users e la mappatura Groups & Departments al variare dell'organizzazione.
• Verificare che i tre consensi restino Already granted: una revoca lato Microsoft interrompe le funzionalità collegate.
• Rivedere l'elenco degli Admins e i relativi permessi (aggiunte, rimozioni, cambi di ruolo).
• Mantenere aggiornati i dati di Company Scan (Key people, firma aziendale, key customers).

• Guida completa di General Settings (per Google Workspace, Okta o provisioning via CSV).
• Setup Checklist — configurazione iniziale della piattaforma prima dell'attivazione dei singoli moduli.
• Documentazione tecnica delle API e dei Webhook.
• Documentazione di setup dell'integrazione Microsoft Defender (Threat submission e TABL).
• Microsoft — Tenant Allow/Block List (portale Microsoft Defender).