Quando colleghi Atera a Microsoft Entra ID, l'applicazione Atera richiede un insieme di autorizzazioni (ambiti OAuth 2.0) dal tuo tenant. Questo articolo spiega ciascuna autorizzazione richiesta da Atera, cosa consente e quando viene effettivamente utilizzata.

Per le istruzioni di configurazione, consulta Sincronizza utenti e contatti da Microsoft Entra ID.

Informazioni su questo articolo

Questo articolo è rivolto a revisori IT, della sicurezza e della conformità che hanno bisogno di capire esattamente cosa richiede Atera durante il flusso di consenso OAuth di Entra ID — sia prima di approvare l'integrazione, sia come parte di un audit interno.

Per ogni autorizzazione troverai:

• Il nome dell'autorizzazione come appare nella schermata di consenso
• L'ambito Microsoft Graph
• Una descrizione presa direttamente dalla documentazione ufficiale di Microsoft

Alcune autorizzazioni compaiono due volte nella richiesta di Atera — una volta come Autorizzazione applicazione e una volta come Autorizzazione delegata. Questo perché diverse parti della piattaforma operano in diversi contesti di autenticazione:

• Autorizzazioni delegate vengono utilizzate quando è presente un utente autenticato.
• Autorizzazioni applicazione vengono utilizzate quando Atera o Robin agiscono autonomamente in background senza una sessione utente attiva.

Quando un'autorizzazione viene richiesta in entrambi i modi, la descrizione qui sotto utilizza il testo relativo all'autorizzazione applicazione dalla documentazione Microsoft, in quanto è la più permissiva delle due. Dove un'autorizzazione è richiesta solo come autorizzazione delegata, viene utilizzata la descrizione delegata.

Importante: capire quando vengono attivate le autorizzazioni

Concessa non significa attiva

Le autorizzazioni elencate in questo articolo vengono concesse al momento dell'autorizzazione dell'applicazione Atera Entra ID — indipendentemente da quali funzionalità di Atera vengano poi attivate. L'intero set di ambiti OAuth viene registrato con Entra ID anche se viene utilizzato solo un sottoinsieme delle funzionalità di Atera, come la sola sincronizzazione degli utenti.

Concedere questi ambiti non comporta, di per sé, alcuna azione nel tuo ambiente Entra ID. Le autorizzazioni rappresentano un limite massimo, non un'istruzione.

Autorizzazioni di scrittura e Robin (IT Autopilot)

Gli ambiti di lettura/scrittura e quelli che consentono la scrittura non verranno utilizzati a meno che Robin non sia abilitato nel tuo ambiente Atera. Quando Robin è attivo, queste autorizzazioni vengono utilizzate solo in due scenari:

• Come parte di un flusso di lavoro automatizzato che Robin è stato configurato per eseguire (ad esempio, una sequenza di onboarding o offboarding automatica).
• In risposta diretta a un'istruzione esplicita da parte di un utente che interagisce con Robin (ad esempio, un tecnico o un utente finale che chiede a Robin di reimpostare una password o aggiornare un'impostazione della casella di posta).

Robin non intraprenderà alcuna azione in modo autonomo al di fuori di questi due contesti.

Le autorizzazioni effettive sono limitate dai controlli di accesso già presenti in Entra ID

Le azioni consentite all'interno di Entra ID sono definite dagli ambiti OAuth 2.0 concessi, ma sono anche strettamente regolate dai permessi già posseduti dall'utente autorizzante in Entra ID.

Se un utente non dispone del permesso nativo di Entra ID per eseguire un'azione — come modificare i metodi di autenticazione di un altro utente, cambiare l'appartenenza a un gruppo o aggiornare le impostazioni della casella di posta — non potrà eseguire quell'azione tramite Atera o Robin, anche se l'ambito OAuth pertinente è stato concesso.

In altre parole: l'ambito OAuth stabilisce cosa l'applicazione è autorizzata a richiedere. Il ruolo e i permessi dell'utente in Entra ID determinano se quella richiesta verrà accolta.

Riferimento ufficiale Microsoft

I valori di Ambito e descrizione nelle tabelle sottostanti sono presi direttamente dal riferimento ufficiale alle autorizzazioni di Microsoft. Puoi verificare ogni ambito su:

https://learn.microsoft.com/it/graph/permissions-reference

Autorizzazioni richieste da Atera

Autorizzazioni utente e identità

Autorizzazioni directory e gruppi

Autorizzazioni posta e calendario

Autorizzazioni file e SharePoint

Autorizzazioni contatti

Autorizzazioni report e amministrazione

Autorizzazioni dispositivi ed endpoint