Quattro livelli
SSO non equivale ad autorizzazione
Entra conferma l'identità e può evitare una seconda password. Non concede da solo visibilità del canale o configurazione WebChat. Il lavoro agente segue il canale Teams; la configurazione aggiunge una lista amministratori.
Il collaudo richiede una matrice: leggere, rispondere al cliente, note interne, membri, widget/canale, approvazione app. Nessuna attività giustifica automaticamente il ruolo Microsoft più alto.
| Livello | Controllo | Test |
|---|---|---|
| Identità Entra | Login, account, ospite | Attivo/bloccato, MFA e Conditional Access tenant |
| Team e canale | Visibilità e partecipazione | Standard/privato/condiviso, membri e storia |
| Ruolo Teams | Owner, membro, guest, moderatore | Separare membri, app, canali e risposta |
| Admin WebChat | Configurazione del canale | Email in lista, membership e revoca |
| Identità app/flow | Approvazione, connettori e automazione | Owner, segreto, runtime, sostituto e offboarding |
Tipo di canale
Standard, privato e condiviso cambiano il pubblico
Lo standard è in genere visibile al team; il privato limita a membri scelti; il condiviso può includere persone di altri team o organizzazioni. Cambiano visibilità, owner, ospiti, app, storage e revoca.
Microsoft indica che un nuovo membro del canale privato può vedere conversazioni precedenti. Rimosso dal team perde i canali privati e, se rientra, va aggiunto di nuovo. Privato non sostituisce need-to-know e retention.
Joiner, mover, leaver
Governare l'intero ciclo
- 01
Limitare il joiner
Assegnare solo team/canali necessari; testare agente, nota interna e admin separatamente.
- 02
Rivedere il mover
Rimuovere vecchi canali e admin prima del nuovo scope.
- 03
Bloccare il leaver
Disattivare Entra e revocare team, canale, guest, gruppo, app e access package.
- 04
Chiudere il prodotto
Controllare admin WebChat, flow owner, connessioni, service account, segreti, Meta e Tag Manager.
- 05
Provare la revoca
Negare login, sessione vecchia, Teams mobile, link, backend ed esecuzione API/flow.
Least privilege
Otto casi prima della produzione
- L'agente risponde senza gestire membri o configurazione.
- L'admin WebChat cambia un'impostazione e perde il diritto dopo rimozione da lista o canale.
- L'owner Teams gestisce membri senza ruolo tenant globale inutile.
- Guest o esterno vede solo l'ambito autorizzato; risposta e storico sono separati.
- Utente fuori canale non raggiunge thread o backend.
- Mover perde vecchi canali e riceve solo il nuovo scope.
- Leaver perde web, desktop, mobile, link, flow, connettori e admin nei tempi.
- Due owner garantiscono continuità; privilegi elevati sono temporanei e tracciati.