Gruppi e accessi

In Frontdoor l'accesso passa dai gruppi: un utente vede un'app quando uno dei suoi gruppi ha un permesso su di essa. Gestisci i gruppi da Gruppi (/admin/groups).

Ruoli

Ogni utente ha uno di quattro ruoli. Il ruolo decide quali pagine di amministrazione l'utente può aprire; i gruppi decidono quali app vede.

Ruolo	Cosa può fare
owner	Tutto, compresi Log, Audit, Personalizza e i backup
admin	Gestire app, gruppi e utenti, importare gruppi Entra, avviare una sincronizzazione, assegnare ruoli. Nessun accesso a Log, Audit e Personalizza
admin_readonly	Consultare le pagine di amministrazione di app, gruppi e utenti, senza modificare nulla
user	Usare il catalogo delle app, con le preferenze personali

Le persone elencate in ADMIN_EMAILS diventano owner in automatico quando accedono. Finché restano in quell'elenco, il loro ruolo non si può cambiare dall'interfaccia web.

Creare un gruppo locale

1. Apri Gruppi e seleziona Nuovo gruppo.
2. Inserisci un Nome e, se vuoi, una Descrizione.
3. Usa Aggiungi membri per aggiungere utenti e Aggiungi app per dare al gruppo l'accesso alle app.

Puoi cercare i gruppi per nome, per membro o per slug di un'app, ed eliminare più gruppi insieme. Frontdoor segnala i gruppi problematici, come Gruppi senza app e Gruppi senza membri.

Usare i gruppi di Microsoft Entra

Quando chi gestisce l'installazione attiva la sincronizzazione dei gruppi Entra (ENTRA_GROUP_SYNC=true, vedi Configurazione di Microsoft Entra), Frontdoor rileva i gruppi Entra di ogni utente al suo accesso.

Rilevamento e importazione sono passaggi separati:

1. I gruppi rilevati restano in una cache. Non concedono ancora nulla.
2. Apri Importa gruppi Entra, seleziona i gruppi che vuoi usare in Frontdoor e scegli Importa selezionati.
3. I gruppi importati si comportano come i gruppi locali: assegna loro le app come al solito. I loro membri arrivano da Microsoft Entra.

Se elimini un gruppo importato da Frontdoor, non ricompare da solo. Deve essere rilevato di nuovo da un accesso o da una sincronizzazione, e poi importato di nuovo.

Sincronizzare subito

Sincronizza gruppi aggiorna in un colpo solo il catalogo dei gruppi dell'intero tenant e le appartenenze Entra di tutti gli utenti. Eseguilo, oppure attendi il prossimo accesso, subito dopo aver attivato la sincronizzazione dei gruppi Entra, per popolare la cache.

La stessa sincronizzazione gestisce anche le persone che hanno lasciato l'organizzazione: vedi Utenti e sincronizzazione con Entra.

Gruppi eliminati in Microsoft Entra

Quando Microsoft Entra segnala che un gruppo è stato eliminato, Frontdoor lo contrassegna (Questo gruppo è stato eliminato in Microsoft Entra), conserva un'istantanea dei suoi membri, delle sue app e dei gruppi che lo collegano, e avvisa gli amministratori. Vale sia per i gruppi importati sia per i gruppi Entra soltanto collegati a gruppi locali.

Con la policy predefinita (ENTRA_DELETED_GROUP_POLICY=freeze), i membri mantengono l'accesso finché non decidi tu. Puoi:

• Converti in gruppo locale: il gruppo mantiene membri e app e smette di sincronizzarsi con Microsoft Entra.
• spostare le sue app in un altro gruppo
• scollegarlo
• eliminarlo

Con ENTRA_DELETED_GROUP_POLICY=revoke, i membri perdono l'accesso al loro prossimo accesso o alla prossima sincronizzazione. Un gruppo ripristinato in Microsoft Entra perde il contrassegno da solo.

Collegare i gruppi tra loro

Un gruppo locale può includere altri gruppi (Gruppi collegati): i membri di un gruppo collegato ereditano le app del gruppo che lo contiene. Puoi anche collegare direttamente gruppi Entra (Gruppi Entra collegati), senza importarli.

Frontdoor risolve gli accessi ereditati lungo l'intera catena di collegamenti.

Trasferire le app tra gruppi

Per copiare o spostare tutti i permessi diretti sulle app da un gruppo a un altro, apri la pagina nascosta Trasferisci app tra gruppi (/admin/group-transfer, raggiungibile con Trasferisci):

1. Scegli un Gruppo sorgente e un Gruppo destinazione.
2. Scegli Copia app (il gruppo sorgente resta invariato) o Sposta app (i permessi vengono rimossi dal gruppo sorgente dopo essere stati aggiunti a quello di destinazione).
3. Controlla l'anteprima ed esegui il trasferimento.

Si spostano solo i permessi diretti sulle app. Membri, gruppi collegati e collegamenti Entra restano invariati, e le app ereditate dai gruppi collegati non vengono copiate.

Verificare cosa vede un utente

In Utenti, apri un utente e seleziona App visibili per vedere tutte le app che l'utente può raggiungere e tramite quale gruppo.