Guida all'Integrazione Sicura: Configurazione "Bring Your Own App" (BYOA) per Microsoft 365

Questa guida spiega come collegare in modo sicuro Backup Monitor a una singola casella di posta di Microsoft 365, applicando rigorosamente il principio del Least Privilege (privilegi minimi).

A differenza delle integrazioni OAuth standard, che richiedono l'accesso in lettura all'intero tenant, questo metodo sfrutta il modello Role-Based Access Control (RBAC) for Applications introdotto nativamente in Exchange Online. Questo approccio permette agli amministratori di limitare l'accesso ai dati a specifiche caselle di posta in modo granulare, ignorando le assegnazioni di ruolo generali di Microsoft Entra ID.

Creando l'App direttamente nel tuo tenant, il sistema accederà unicamente all'interno del perimetro (scope) esatto che hai definito, garantendo un isolamento reale e una sicurezza di livello enterprise.

Prerequisiti

• Diritti di Amministratore Globale o Amministratore di Exchange nel tenant Microsoft 365.
• Modulo PowerShell ExchangeOnlineManagement installato sul proprio PC (guida all'installazione).
• L'indirizzo email della casella specifica da monitorare.

Step 1: Creazione dell'App in Microsoft Entra ID

In questa fase creeremo l'"identità" che Backup Monitor utilizzerà per autenticarsi, senza assegnarle alcun permesso globale.

1. Accedi al Microsoft Entra admin center con privilegi di amministratore.
2. Nel menu a sinistra, seleziona Registrazioni app e clicca su Nuova registrazione.
3. Nel modulo che si apre, compila i seguenti campi:
   • Nome: Inserisci un nome riconoscibile (es. Backup Monitor-Access).
   • Tipi di account supportati: Scegli Solo tenant singolo.
   • URI di reindirizzamento: Lascia vuoto questo campo.
   • Clicca su Registra.
4. Nella sezione Panoramica dell'App appena creata, copia e metti al sicuro i campi ID applicazione (client) e ID della directory (tenant) (frecce rosse nell'immagine). Fatto ciò, clicca sul link sotto "Applicazione gestita nella directory locale" (freccia verde nell'immagine).
5. Ti troverai nella pagina dell'Applicazione Aziendale (Enterprise Application): copia e salva il campo ID Oggetto.
6. Come ultimo passaggio, è necessario generare un Segreto client per permettere a Backup Monitor di autenticarsi. Torna alla pagina della tua App e naviga in Certificati e segreti > Segreti client > Nuovo segreto client.
   • Inserisci una descrizione (es. Backup Monitor-Secret) e scegli una scadenza (consigliata: 24 mesi).
   • Clicca su Aggiungi.
   • ⚠️ IMPORTANTE: Copia e salva immediatamente il Valore (Value) del segreto generato. Per motivi di sicurezza, Microsoft non te lo mostrerà più in seguito.

Step 2: Configurazione del recinto (Scope) tramite PowerShell

In questo passaggio definiremo i limiti di accesso per l'App utilizzando i meccanismi di Application RBAC in Exchange Online. Lo script eseguirà tre operazioni fondamentali per "blindare" l'accesso:

1. New-ServicePrincipal: Registra l'identità dell'applicazione aziendale (creata nello Step 1 in Entra ID) all'interno dell'infrastruttura di Exchange Online.
2. New-ManagementScope: Crea un perimetro direzionale logico ("recinto") all'interno della tua organizzazione. Sfrutta un filtro rigoroso per assicurarsi che comprenda unicamente l'indirizzo email specificato.
3. New-ManagementRoleAssignment: Assegna il permesso specifico di lettura dei dati (Application Mail.Read) all'applicazione, vincolandone però il raggio di azione esclusivamente al perimetro creato al punto precedente. L'App non avrà alcuna visibilità sul resto dell'organizzazione.

Apri PowerShell come Amministratore ed esegui il seguente script, facendo attenzione a sostituire le prime 4 variabili con i tuoi dati reali:

# 1. Connettiti a Exchange Online
Connect-ExchangeOnline

# --- INSERISCI I TUOI DATI QUI SOTTO ---
$AppId = "INSERISCI_APPLICATION_CLIENT_ID"
$ObjectId = "INSERISCI_SERVICE_PRINCIPAL_OBJECT_ID"
$DisplayName = "Backup Monitor-Access"
$MailboxToMonitor = "INSERISCI_EMAIL_DA_MONITORARE"
# --------------------------------------

# 2. Crea il Service Principal in Exchange Online
Write-Host "Registrazione dell'App in Exchange Online..."
New-ServicePrincipal -AppId $AppId -ObjectId $ObjectId -DisplayName $DisplayName

# 3. Crea il recinto di sicurezza (Management Scope) puntato alla singola casella
Write-Host "Creazione del perimetro di sicurezza per la casella $MailboxToMonitor..."
$ScopeName = "Backup Monitor-Scope-$MailboxToMonitor"
New-ManagementScope -Name $ScopeName -RecipientRestrictionFilter "PrimarySmtpAddress -eq '$MailboxToMonitor'"

# 4. Assegna il ruolo di lettura (Application Mail.Read) limitato al recinto creato
Write-Host "Assegnazione dei permessi restrittivi in corso..."
New-ManagementRoleAssignment -App $AppId -Role "Application Mail.Read" -CustomResourceScope $ScopeName

Write-Host "Configurazione completata con successo!"

Connect-ExchangeOnline -Device

Get-OrganizationConfig | Format-List IsDehydrated

New-DistributionGroup -Name "GruppoTestSync" -PrimarySmtpAddress "testsync@tuodominio.it"
Remove-DistributionGroup -Identity "GruppoTestSync" -Confirm:$false

Step 3: Collegamento a Backup Monitor

Ora che il tuo tenant è configurato e l'accesso è blindato, non resta che fornire a Backup Monitor le credenziali per leggere quella specifica casella.

1. Accedi al portale di Backup Monitor.
2. Naviga nella sezione Impostazioni per configurare la casella email.
3. Seleziona l'opzione Microsoft 365 OAuth.
4. Clicca su Enterprise (BYOA).
5. Inserisci i dati raccolti durante lo Step 1:
   • Tenant ID
   • Client ID (Application ID)
   • Client Secret (Il Valore che hai salvato in precedenza)
   • Email da monitorare
6. Salva le impostazioni ed esegui un test di connessione.

L'infrastruttura di Microsoft bloccherà alla radice qualsiasi tentativo da parte dell'App di leggere caselle diverse da quella indicata nel tuo perimetro di sicurezza. Se in futuro desideri revocare definitivamente l'accesso, ti basterà eliminare la "Registrazione app" dal tuo Microsoft Entra ID.