Office 365: come disegnare la migliore architettura

Progettare la gestione di una organizzazione in Office 365 richiede una considerevole attenzione, soprattutto oggi che temi come la compliance aziendale sono da tenere in grande considerazione, anche dal punto di vista della collocazione geografica delle risorse. Fra i parametri che condizionano la scelta, tuttavia, ce ne sono diversi che devono essere presi in considerazione, soprattutto in un’ottica di mediazione fra le necessità tecniche e organizzative e la qualità dell’esperienza utente.

Un caso di specie che riguarda proprio la necessità di fare questo tipo di scelte è la decisione sull’utilizzo di un singolo tenant o di una configurazione multi tenant. Per approfondire questo tema abbiamo sentito Roland Bllaca, Microsoft Solution Team Leader – Modern Collaboration di Project Informatica.

Come funzionano i tenant?

Un tenant di Microsoft 365 rappresenta un’istanza specifica dell’infrastruttura Microsoft, generata quando un’organizzazione acquista uno o più prodotti o servizi insieme alle relative licenze. È importante notare che, durante la creazione di ogni tenant, è possibile definirne la posizione geografica. Inoltre, Microsoft crea automaticamente un tenant di Azure Active Directory per la gestione di utenti, accessi e permessi.

“La scelta sull’utilizzo di uno o più tenant ha molta importanza perché influenza diverse aree della gestione: compliance, sicurezza e segmentazione da un lato, produttività, esperienza utente e opportunità di collaborazione dall’altro”, ci spiega Bllaca, che continua: “Tipicamente l’uso di un singolo tenant semplifica di molto sia la gestione dell’infrastruttura sia l’esperienza utente. Tuttavia, ci sono ambiti in cui una soluzione multi-tenant ha una maggiore efficacia. Per esempio, se l’azienda ha bisogno di isolamento amministrativo, se la gestione IT è decentralizzata o se, per ragioni diverse, siamo di fronte a una realtà conglomerata in cui ciascuna entità deve mantenere identità e autonomia”. Insomma, non esiste una risposta universale.

Tenant separati, identità nettamente divise

Nello scenario più tipico, spiega Bllaca, si predilige l’utilizzo di un singolo tenant, soprattutto per migliorare l’esperienza utente e favorire la collaborazione. Ci sono, però, casi tipici in cui la soluzione multi-tenant è preferibile. “Per esempio, nel caso delle acquisizioni o delle cessioni di rami d’azienda, potrebbe essere meglio conservare un tenant separato. Prima di tutto perché il lavoro di migrazione può essere complesso, poi perché esistono realtà in cui le diverse unità organizzative all’interno dello stesso conglomerato aziendale hanno molta autonomia. In questo caso, conservare la struttura esistente permette di contenere i costi e i tempi organizzativi. L’esperienza utente non sarà al 100%, ma Microsoft offre uno strumento per mitigare l’isolamento. “La collaborazione B2B di Azure AD permette agli utenti di usare un seti di credenziali per accedere a più tenant, inviando automaticamente un utente da un tenant principale a uno o più secondari, in cui sarà attivo come guest” spiega Bllaca. In questo modo è pensabile di conservare la separazione senza minare eccessivamente l’operatività.

Unione dei tenant: i vantaggi

Bllaca racconta, dalla sua esperienza, che “nella maggior parte dei casi le grandi organizzazioni con decine o centinaia di migliaia di utenti prediligono l’uso di un singolo tenant, perché l’aggiunta di altre unità richiederebbe un considerevole sforzo organizzativo”. Teniamo presente che nello scenario Enterprise la gestione deve seguire regole di compliance e policy interne molto stringenti, che è decisamente più semplice applicare e propagare all’interno di una sola unità organizzativa Azure rispetto a farlo su più istanze diverse, con tutti i problemi che possono nascere anche dalle interazioni fra le diverse zone.

“Solitamente, anche nel caso di acquisizioni, si valuta la migrazione di utenti e dati verso il tenant già esistente, solitamente quello dell’azienda acquirente” sottolinea Bllaca. Questo, infatti, garantisce il miglior livello di collaborazione fra gli utenti e la migliore esperienza utente, per esempio nell’utilizzo di Microsoft Teams, della posta elettronica, di SharePoint e così via.

Tipicamente il driver principale di questa scelta è legato a efficienza e collaborazione: le diverse entità aziendali potranno in questo modo condividere novità, aggiornamenti, file e contenuti digitali, per esempio sui prodotti e servizi dell’azienda. “Questo può avvenire in maniera agevole e performante, a patto che siano definiti i processi su ampia scala per farlo”. Tema che, però, non è strettamente legato alla soluzione tecnologica.

Un altro vantaggio importante della gestione single-tenant è il migliore controllo che l’utente (e gli amministratori) possono avere sulle risorse: attraverso un unico set di credenziali sarà possibile accedere a tutte le risorse aziendali, sia da computer, sia da dispositivi mobili.

Sicurezza ed efficacia

Il single-tenant offre, in definitiva, una gestione migliore nella maggior parte dei casi. “Si tratta di un meccanismo che favorisce la centralizzazione della gestione della sicurezza delle identità e dei dati – ci ricorda Bllaca – sia al livello amministrativo, sia a livello di singolo utente: per esempio, chiunque può avere in qualsiasi momento il pieno controllo sui dati e le informazioni che ha condiviso, con la possibilità di modificare i privilegi o terminare la condivisione in qualsiasi momento”.

Non solo, però. I vantaggi si applicano anche al troubleshooting: “Avendo a disposizione un’unica console per la gestione e il controllo, per esempio anche dei log, gli amministratori possono operare con maggiore agilità, anche su operazioni avanzate come la correlazione di eventi. Nel caso di una struttura multi-tenant, nel caso di attività sospette è necessario fare un passaggio a monte per allineare i log delle diverse unità prima di effettuare ulteriori indagini”.

A vantaggio del multi-tenant va, tuttavia, ricordata una maggiore flessibilità nel caso di organizzazioni con una forte mobilità: “se è prevista la possibilità di ingressi e uscite frequenti di unità organizzative, come nel caso delle attività in catena o delle holding, conservare tenant separati può favorire la gestione di fusioni e divisioni più rapide” conclude Bllaca.