Amministratore globale Microsoft 365 dopo un decesso
Microsoft 365 può riunire posta, documenti, identità, riunioni, domini, fatturazione e sicurezza di una piccola organizzazione. Se il fondatore è l'unico amministratore globale raggiungibile, il suo decesso o la sua incapacità possono bloccare l'intero tenant.
La preparazione corretta non consiste nel condividere la password. Crea percorsi di recupero indipendenti e verificabili per persone realmente autorizzate.
Elimina il singolo punto di guasto
Il ruolo di amministratore globale ha poteri molto estesi su utenti, altri amministratori, domini, abbonamenti e servizi Microsoft Entra e Microsoft 365. Documenta quindi tenant, DNS, fatturazione, autenticazione, partner e applicazioni critiche.
Microsoft consiglia due o più account di accesso di emergenza. Devono essere solo cloud nel dominio onmicrosoft.com, avere il ruolo globale attivo in modo permanente ed essere riservati ai casi di blocco. Proteggili con autenticazione resistente al phishing che non dipenda dal telefono del fondatore, dallo stesso provider di identità o dallo stesso edificio degli account normali.
Conserva credenziali e chiavi in luoghi sicuri e separati. Ogni accesso deve generare un avviso e una revisione. Questi account non sono destinati alla posta o all'amministrazione ordinaria.
Limita i privilegi quotidiani
Assegna a ogni amministratore un'identità individuale e solo i ruoli necessari. Fatturazione, Exchange, SharePoint e utenti possono essere gestiti con ruoli più ristretti. Ciò riduce il rischio e mantiene chiara la cronologia delle azioni.
Esamina l'intera catena di accesso. Più account non creano continuità se usano tutti il telefono del fondatore, la stessa federazione o la stessa regola di accesso condizionale.
Separa tecnica e autorità
La procedura tecnica indica ID del tenant, domini, amministratori, abbonamenti, partner, DNS, dispositivi, recupero e supporto esterno. Deve rimandare ai segreti protetti senza raccogliere tutte le password in chiaro.
Una sezione distinta nomina chi può autorizzare un accesso di emergenza, sospendere utenti, delegare caselle, trasferire file o cambiare la fatturazione. Possedere una password o essere un familiare non conferisce automaticamente autorità sull'organizzazione.
Se il decesso è già avvenuto
Un altro amministratore autorizzato usa il proprio account oppure, quando ricorrono le condizioni documentate, un account di emergenza. Registra motivo e azioni e conserva i log. Non accedere con l'identità del defunto.
Non eliminare subito l'account. Preserva dispositivi e dati; controlla sessioni, ruoli, applicazioni, inoltri e obblighi di conservazione. Microsoft offre procedure per accedere a OneDrive e preservare o convertire una casella. L'eliminazione avvia scadenze: per OneDrive il periodo predefinito dopo l'eliminazione dell'utente è 30 giorni, ma è configurabile e le policy possono modificarlo.
Se nessun amministratore, account di emergenza o partner funziona, contatta il supporto Microsoft 365 Business o il rivenditore segnalando il blocco del tenant. Sarà necessario verificare organizzazione e controllo del servizio.
Prova il piano
Almeno ogni 90 giorni verifica entrambi gli account, i metodi di autenticazione, gli avvisi e i dati relativi a tenant, dominio, fatturazione e supporto. Ripeti dopo cambiamenti importanti di personale, identità, regole o fornitori.
La continuità Microsoft 365 non è ereditare una password. Le persone autorizzate devono poter ripristinare l'amministrazione, giustificare le proprie azioni e conservare posta e file senza impersonare la persona deceduta.