Anche questo mese torna la mia rubrica dedicata all’evoluzione dei servizi di management e security in ambito Azure, con uno sguardo attento agli scenari ibridi e multicloud abilitati da Azure Arc e potenziati dall’utilizzo dell’Intelligenza Artificiale.
Questa serie di articoli mensili si propone di:
- offrire una panoramica delle novità più rilevanti introdotte da Microsoft;
- condividere consigli operativi e best practice raccolti dal campo, per aiutare architect e responsabili IT a gestire con efficacia ambienti complessi e distribuiti;
- seguire l’evoluzione verso un modello di gestione centralizzato, proattivo e basato sull’AI, in linea con la visione di Microsoft dell’AI-powered Management.
Gli ambiti principali affrontati in questa rubrica, accompagnati dagli strumenti e servizi di riferimento, sono descritti in questo articolo.
Hybrid and multicloud environment management
Azure Arc
Estensione delle funzionalità di migrazione SQL di Azure Arc verso SQL Server su Azure Virtual Machines
La soluzione di migrazione SQL integrata con Azure Arc supporta ora SQL Server su Azure Virtual Machines come destinazione dei processi di migrazione. Le istanze di SQL Server abilitate tramite Azure Arc possono pertanto essere trasferite sia verso Azure SQL Managed Instance sia verso SQL Server eseguito su infrastruttura IaaS in Azure, utilizzando un unico flusso operativo centralizzato.
Questa estensione amplia le possibilità a disposizione delle organizzazioni che devono modernizzare o trasferire database SQL Server distribuiti in ambienti on-premises, edge o multicloud. La scelta della destinazione può essere effettuata in funzione dei requisiti applicativi, delle esigenze di compatibilità e del livello di gestione desiderato, senza dover adottare strumenti o procedure differenti per ciascuno scenario.
Il supporto a SQL Server su Azure Virtual Machines risulta particolarmente rilevante per i workload che richiedono un elevato livello di compatibilità con l’istanza SQL Server di origine, il controllo del sistema operativo oppure configurazioni applicative non immediatamente trasferibili verso un servizio PaaS. Azure Arc rafforza così il proprio ruolo come livello di controllo unificato per la valutazione, la pianificazione e l’esecuzione delle migrazioni di ambienti SQL Server eterogenei.
Security posture across hybrid and multicloud infrastructures
Microsoft Defender for Cloud
Valutazioni di sicurezza di Microsoft Defender per Azure Database for PostgreSQL Flexible Server
Sono ora disponibili le valutazioni di sicurezza di Microsoft Defender Cloud Security Posture Management per Azure Database for PostgreSQL Flexible Server. La funzionalità consente di analizzare in modo continuativo la postura di sicurezza di PostgreSQL Flexible Server, individuando vulnerabilità, configurazioni non corrette e condizioni che potrebbero aumentare l’esposizione ai rischi.
Le verifiche sono state progettate sulla base delle best practice di sicurezza specifiche per PostgreSQL e restituiscono raccomandazioni operative utili a rafforzare la baseline di protezione, definire le priorità di remediation e supportare il rispetto dei requisiti di conformità. Le indicazioni fornite permettono quindi di intervenire in maniera più strutturata, concentrando gli sforzi sulle configurazioni che presentano il maggiore impatto potenziale.
Per le risorse sulle quali Microsoft Defender CSPM risulta già abilitato non è necessaria alcuna configurazione aggiuntiva. I risultati e le raccomandazioni possono essere consultati direttamente nella pagina della risorsa Azure Database for PostgreSQL Flexible Server, nell’esperienza principale di Microsoft Defender for Cloud oppure nel portale Microsoft Defender. Microsoft ha reso disponibile un primo insieme di valutazioni integrate e prevede di estenderne progressivamente la copertura nelle versioni successive.
Foundational CSPM diventa opzionale per le nuove sottoscrizioni Azure
A partire dal 27 ottobre 2026, Foundational CSPM non verrà più abilitato automaticamente sulle nuove sottoscrizioni Azure, ma dovrà essere attivato esplicitamente. La modifica offre alle organizzazioni un maggiore controllo sulle modalità con cui viene configurata la gestione della postura di sicurezza per ciascuna nuova sottoscrizione e si inserisce nel percorso di trasferimento delle funzionalità di Cloud Security Posture Management verso il portale Microsoft Defender.
Foundational CSPM continuerà a essere disponibile senza costi aggiuntivi e potrà essere abilitato in qualsiasi momento, in funzione delle esigenze di governance e sicurezza dell’organizzazione. La variazione riguarda esclusivamente le sottoscrizioni Azure create dopo l’entrata in vigore del nuovo modello: quelle esistenti manterranno la configurazione corrente, mentre gli ambienti AWS e Google Cloud non saranno interessati.
Il cambiamento rende ancora più importante integrare l’attivazione delle funzionalità di postura di sicurezza nei processi di provisioning e nelle landing zone aziendali. In assenza di automatismi definiti tramite policy, Infrastructure as Code o procedure operative, una nuova sottoscrizione potrebbe infatti essere creata senza le capacità di base necessarie per valutarne configurazioni, rischi e livello di conformità.
Raccomandazioni a livello di database per SQL Vulnerability Assessment
Sono ora disponibili le raccomandazioni a livello di singolo database generate da SQL Vulnerability Assessment. La novità completa il passaggio dal precedente modello, nel quale più controlli venivano raggruppati in un’unica raccomandazione, a un approccio più granulare, nel quale ogni regola di sicurezza viene presentata separatamente e associata direttamente alla risorsa SQL interessata.
SQL Vulnerability Assessment analizza i database confrontandone le configurazioni con le best practice di sicurezza Microsoft e con requisiti comunemente adottati in ambito normativo. Ogni deviazione viene riportata come una specifica raccomandazione sul database sottoposto a scansione, migliorando la capacità di identificare il controllo non superato, comprenderne l’impatto e assegnare con maggiore precisione le attività di remediation.
Le nuove raccomandazioni contribuiscono al Cloud Score basato sul rischio, ma non modificano il Secure Score classico. Un risultato non conforme non rappresenta necessariamente una vulnerabilità da correggere immediatamente: potrebbe infatti derivare sia da una configurazione involontaria sia da una scelta progettuale consapevole. Ogni evidenza deve quindi essere valutata nel contesto tecnico e operativo del workload.
Per gestire i finding sono disponibili tre approcci principali. La configurazione può essere corretta applicando i passaggi o gli script di remediation proposti; può essere approvata come baseline quando lo stato corrente è intenzionale e accettato; oppure la raccomandazione può essere esentata a livello di sottoscrizione o management group qualora il controllo non risulti pertinente per l’organizzazione. Il nuovo livello di dettaglio rende più trasparenti sia la gestione delle eccezioni sia la misurazione del rischio associato ai singoli database.
Nuove funzionalità di sicurezza per i container
Microsoft ha reso generalmente disponibili diverse nuove funzionalità di sicurezza per i container all’interno di Defender for Cloud, rafforzando le capacità di analisi della postura, vulnerability management e protezione multicloud degli ambienti Kubernetes.
Le raccomandazioni Kubernetes Security Posture Management possono ora analizzare in modalità agentless le configurazioni dei singoli container, anziché limitarsi a valutazioni aggregate a livello di cluster. Questo consente di individuare con maggiore precisione le risorse interessate da configurazioni non conformi e rende obsolete alcune precedenti raccomandazioni cluster-level relative.
È inoltre disponibile una nuova raccomandazione per l’aggiornamento della versione di Azure Kubernetes Service, progettata per identificare la versione minima di AKS necessaria a correggere vulnerabilità presenti nei pod di sistema gestiti dalla piattaforma. L’indicazione rende la remediation più operativa, collegando direttamente le vulnerabilità individuate all’azione di upgrade richiesta.
La valutazione delle vulnerabilità è stata estesa anche alle immagini container rilevate durante l’esecuzione nei cluster Amazon EKS e Google Kubernetes Engine. In parallelo, Defender for Cloud può ora analizzare le vulnerabilità dei nodi Kubernetes di EKS e GKE, portando negli ambienti AWS e Google Cloud capacità già disponibili per AKS. La copertura multicloud risulta così più uniforme sia a livello di immagini sia di host sottostanti.
È stato infine introdotto il supporto alla scansione delle Docker Hardened Images, ampliando il numero di distribuzioni e formati di immagine che possono essere sottoposti a vulnerability assessment. Nel complesso, queste funzionalità consolidano Defender for Cloud come punto centralizzato per il monitoraggio della postura di sicurezza dei container distribuiti su Azure, AWS e Google Cloud.
Enforcement delle configurazioni Kubernetes in Defender for Containers
La funzionalità di enforcement delle configurazioni Kubernetes è ora disponibile in Microsoft Defender for Containers. Il servizio valuta le risorse Kubernetes durante la fase di admission e consente di controllare o bloccare i deployment che non rispettano le regole di sicurezza e le best practice definite da Microsoft.
Il controllo viene quindi applicato prima che una risorsa non conforme venga effettivamente creata o modificata nel cluster. In funzione della modalità configurata, l’organizzazione può adottare un approccio inizialmente orientato all’audit, utile per misurare l’impatto delle policy, oppure passare a un enforcement più rigoroso capace di impedire il rilascio delle configurazioni non ammesse.
Con la disponibilità generale, la funzionalità può essere distribuita tramite provisioning automatico. Per AKS e per i cluster Kubernetes abilitati ad Azure Arc è necessario attivare Defender for Containers con accesso alle API Kubernetes. Negli ambienti AWS e Google Cloud, l’abilitazione avviene invece attraverso le funzionalità di protezione agentless. Rimane comunque supportata l’installazione manuale mediante Helm.
Questa evoluzione permette di integrare maggiormente la gestione della postura con i processi di deployment, spostando i controlli di sicurezza verso una logica preventiva. Defender for Containers non si limita quindi a segnalare una configurazione errata dopo il rilascio, ma può contribuire a impedire che la risorsa non conforme entri nell’ambiente operativo.
Discovery e gestione della postura per i workload container serverless
Microsoft Defender for Cloud rende disponibili le funzionalità di discovery e gestione della postura di sicurezza per i workload container serverless. La copertura include Azure Container Apps, Azure Container Instances e Amazon Elastic Container Service eseguito su AWS Fargate.
La funzionalità fornisce una vista inventariale centralizzata delle risorse, accompagnata da raccomandazioni relative alle configurazioni non corrette e dai risultati delle valutazioni di vulnerabilità. Le organizzazioni possono così ottenere una visibilità più completa anche sui workload container che non utilizzano cluster Kubernetes o infrastrutture di calcolo gestite direttamente.
Le informazioni raccolte vengono inoltre integrate nell’analisi degli attack path di Defender for Cloud. Diventa quindi possibile correlare vulnerabilità, configurazioni, esposizioni di rete, autorizzazioni e relazioni tra risorse per identificare i percorsi che un attaccante potrebbe sfruttare per raggiungere asset critici.
L’estensione ai servizi container serverless riduce un potenziale punto cieco negli ambienti cloud moderni, nei quali la semplicità del modello operativo non elimina la necessità di controllare immagini, configurazioni, identità e superfici di esposizione. Defender for Cloud amplia così il proprio modello di postura oltre le macchine virtuali e i cluster Kubernetes, offrendo una copertura più coerente dei diversi modelli di esecuzione containerizzati.
Governance and policy management
Azure Policy
Compliance Substate per le esenzioni di Azure Policy
Azure Policy introduce la proprietà Compliance Substate per migliorare la visibilità sullo stato effettivo delle risorse soggette a un’esenzione. Le esenzioni sono spesso necessarie durante una migrazione, la gestione di un incidente o il periodo richiesto da un team applicativo per completare le attività di adeguamento. Fino a oggi, tuttavia, una risorsa esentata veniva classificata semplicemente come “Exempt”, nascondendo il risultato che avrebbe ottenuto in assenza dell’esenzione.
La nuova proprietà consente invece di conoscere lo stato di conformità sottostante della risorsa e di capire se questa risulti ancora non conforme oppure se abbia nel frattempo raggiunto la compliance. Diventa così possibile valutare in modo più preciso quali esenzioni siano ancora necessarie e quali possano essere rimosse senza introdurre violazioni delle policy.
Il vantaggio operativo è particolarmente evidente negli ambienti caratterizzati da numerose eccezioni. Un insieme di risorse visualizzate come “Exempt” può ora essere distinto, ad esempio, tra risorse già conformi e quindi candidate alla rimozione dell’esenzione, e risorse ancora non conformi per le quali l’eccezione deve essere mantenuta o accompagnata da un’attività di remediation. Questo riduce la necessità di verifiche manuali e semplifica la revisione periodica delle esenzioni.
La Compliance Substate è disponibile direttamente nella scheda Compliance di Azure Policy, come colonna opzionale nella tabella delle risorse associata al report di conformità di un’assegnazione. La nuova informazione contribuisce a eliminare uno dei principali punti ciechi nella gestione delle eccezioni, permettendo di monitorare la reale postura delle risorse, confermare l’avvenuta remediation e rimuovere le esenzioni sulla base di evidenze oggettive.
Validazione Kubernetes-native delle policy con CEL e Validating Admission Policy
Azure Policy per Kubernetes supporta ora l’integrazione di Gatekeeper con le Validating Admission Policy native di Kubernetes e con il Common Expression Language. La funzionalità sfrutta le capacità introdotte con Kubernetes 1.30 per applicare i controlli direttamente nel processo del Kubernetes API Server, offrendo un meccanismo di validazione più efficiente e affidabile rispetto al tradizionale modello basato esclusivamente su admission webhook.
In precedenza, Azure Policy per Kubernetes utilizzava principalmente la valutazione basata su OPA Rego: la richiesta inviata al Kubernetes API Server veniva inoltrata a Gatekeeper, che applicava i vincoli definiti nei Constraint Template e restituiva il risultato al server API. Con il nuovo approccio, le espressioni CEL vengono invece eseguite nativamente all’interno del processo di ammissione di Kubernetes, riducendo la latenza delle decisioni ed eliminando alcuni dei componenti intermedi coinvolti nel flusso di validazione.
L’integrazione semplifica inoltre la scrittura delle regole, grazie a espressioni CEL più leggibili e immediate rispetto ai template basati su Rego, e consente di adottare un comportamento fail-close più rigoroso. In caso di indisponibilità o problemi nel processo di validazione, Kubernetes può quindi impedire la creazione o la modifica di risorse che non siano state correttamente verificate, riducendo il rischio che componenti non conformi vengano distribuiti nel cluster.
Il modello operativo separa chiaramente le responsabilità: CEL definisce quali condizioni devono essere validate, mentre Azure Policy gestisce le modalità con cui tali controlli vengono governati a livello enterprise. Rimangono infatti disponibili le funzionalità di assegnazione centralizzata, gestione degli ambiti attraverso management group e subscription, versioning delle definizioni, monitoraggio della conformità, rollout controllati e gestione delle eventuali esclusioni.
La nuova integrazione permette quindi di applicare controlli Kubernetes-native, ad esempio per limitare i container registry autorizzati, imporre specifici security context o verificare le configurazioni delle risorse, mantenendo al tempo stesso un modello di governance centralizzato e scalabile attraverso Azure Policy.
Azure Enclave per ambienti isolati e workload altamente sensibili (preview)
Azure Enclave è disponibile in anteprima pubblica come servizio gestito per la creazione e la gestione di ambienti Azure sicuri, isolati e conformi, destinati a workload caratterizzati da requisiti di protezione particolarmente elevati. La soluzione è progettata per supportare sia scenari commerciali sia ambienti air-gapped, nei quali la connettività e le possibilità di interazione con sistemi esterni devono essere rigidamente controllate.
Il servizio adotta un modello gerarchico basato su community, enclave e workload. Una community rappresenta l’hub centrale per la gestione della connettività, della governance, del monitoraggio e delle connessioni considerate attendibili. Le enclave costituiscono invece reti software-defined isolate e basate su un approccio zero trust, costruite utilizzando Azure Virtual Network. I workload vengono distribuiti all’interno di resource group associati a una specifica enclave, dalla quale ereditano automaticamente configurazioni di sicurezza, policy e autorizzazioni.
Azure Enclave combina diversi controlli nativi della piattaforma, tra cui routing gestito, Azure Firewall, Network Security Group, Azure Policy, assegnazioni di negazione basate su Role-Based Access Control, flow log e diagnostica centralizzata. Questi componenti vengono utilizzati per creare confini virtuali protetti e ridurre il rischio di accessi non autorizzati o modifiche non conformi.
Le risorse di rete associate alle community e alle enclave non possono essere modificate direttamente, ma vengono amministrate attraverso risorse ed endpoint specifici della piattaforma. Questo approccio contribuisce a limitare il configuration drift, riduce la possibilità di variazioni non controllate e rafforza la coerenza della postura di sicurezza nel tempo.
Secondo il posizionamento proposto da Microsoft, il servizio può ridurre sensibilmente il tempo necessario per predisporre ambienti ad alta sicurezza, trasformando attività che tradizionalmente richiedono settimane o mesi in processi completabili nell’arco di ore o giorni. Azure Enclave si inserisce quindi nell’evoluzione verso modelli di infrastruttura gestita nei quali isolamento, governance e conformità vengono integrati direttamente nella piattaforma.
Backup & Resilience
Azure Site Recovery
Azure Site Recovery supporta carichi con un churn fino a cinque volte superiore
Azure Site Recovery supporta ora, in General Availability, un tasso di variazione dei dati fino a 500 MB/s per singola macchina virtuale, incrementando di cinque volte il limite di churn precedentemente gestibile dal servizio. Il churn rappresenta la quantità di dati modificati sui dischi di una macchina virtuale e che devono essere trasferiti verso l’ambiente di destinazione per mantenerne aggiornata la replica. L’aumento del limite permette di proteggere tramite Azure Site Recovery workload Azure caratterizzati da un’elevata intensità di I/O, riducendo il rischio che il volume delle modifiche superi la capacità supportata dal processo di replica. Il miglioramento risulta particolarmente rilevante per database enterprise, piattaforme di big data, sistemi di analytics e applicazioni transazionali che generano grandi quantità di scritture su disco. Prima dell’adozione della funzionalità, rimane comunque opportuno analizzare attentamente il profilo di churn delle macchine virtuali, la configurazione dello storage, la banda disponibile e gli obiettivi di ripristino, così da verificare che l’intera architettura di disaster recovery sia dimensionata in modo coerente.
Monitoring
Azure Monitor
Esportazione dei dati storici da Log Analytics tramite Export Jobs (preview)
La funzionalità Log Analytics Export Jobs, disponibile in anteprima pubblica, consente di esportare i dati storici presenti in un workspace Log Analytics verso un account Azure Storage, applicando una query e uno specifico intervallo temporale. A differenza dei meccanismi di esportazione continua, questa funzionalità permette di selezionare con precisione i dati da estrarre, semplificandone il trasferimento verso sistemi esterni per successive elaborazioni o per esigenze di conservazione a lungo termine. Gli scenari di utilizzo comprendono la gestione di richieste di audit e requisiti normativi, la creazione di dataset per indagini forensi e l’integrazione con soluzioni SIEM di terze parti. I dati esportati possono inoltre essere utilizzati per attività avanzate di analytics e machine learning, per alimentare piattaforme di business intelligence oppure per supportare iniziative di migrazione verso altri sistemi di analisi e archiviazione. La funzionalità introduce quindi maggiore flessibilità nella gestione del ciclo di vita dei log, soprattutto negli ambienti complessi nei quali è necessario combinare controllo dei costi, compliance e portabilità dei dati.
Mirroring dei log di Azure Monitor in Microsoft Fabric (preview)
Microsoft ha reso disponibile in anteprima pubblica una nuova funzionalità che consente di condividere i dati di telemetria raccolti nei workspace Log Analytics di Azure Monitor con Microsoft Fabric. Le informazioni vengono rese accessibili in OneLake in formato aperto Delta Parquet, con disponibilità quasi in tempo reale e senza la necessità di creare copie aggiuntive dei dati.
La funzionalità supporta tutti i piani di Azure Monitor Logs, inclusi Analytics, Basic e Auxiliary, permettendo quindi di estendere l’utilizzo dei dati di observability indipendentemente dal livello di log adottato. Una volta disponibili in Microsoft Fabric, i dati possono essere analizzati attraverso servizi come Eventhouse, Power BI e Spark, insieme ad altre fonti informative operative e aziendali.
Questa integrazione consente, ad esempio, di correlare eventi infrastrutturali e applicativi con dati provenienti da sistemi ERP, CRM o altre piattaforme di business. Le organizzazioni possono così comprendere con maggiore precisione l’impatto operativo di anomalie, degradi prestazionali o interruzioni di servizio, migliorando la capacità di analisi trasversale e supportando decisioni più tempestive.
La disponibilità dei dati di Azure Monitor all’interno di Fabric apre inoltre nuovi scenari per l’applicazione di modelli di machine learning, analisi avanzate, reporting evoluto e valutazioni dei trend di lungo periodo. L’observability può quindi essere integrata in un modello analitico più ampio, nel quale le informazioni tecniche vengono messe in relazione con il contesto e con gli indicatori di business.
Metriche avanzate della piattaforma in Azure Monitor (preview)
A partire dal 15 luglio 2026, Microsoft ha reso disponibili in anteprima pubblica le metriche avanzate della piattaforma di Azure Monitor. La nuova esperienza introduce ulteriori segnali di telemetria per migliorare la visibilità sulle prestazioni dei servizi, sullo stato di integrità delle risorse e sull’andamento operativo degli ambienti Azure supportati.
Grazie a un insieme più ampio e dettagliato di metriche, le organizzazioni possono individuare più rapidamente anomalie e potenziali criticità, ridurre i tempi necessari per le attività di troubleshooting e ottenere una comprensione più approfondita del comportamento delle risorse. Le informazioni aggiuntive possono inoltre contribuire alla costruzione di dashboard, alert e processi di analisi maggiormente aderenti alle caratteristiche dei singoli workload.
L’evoluzione si inserisce nel percorso di potenziamento delle capacità di observability di Azure Monitor, elemento fondamentale per una gestione sempre più centralizzata e proattiva degli ambienti cloud. Durante la fase di preview, i clienti possono valutare la nuova esperienza, verificarne l’efficacia nei propri scenari operativi e fornire feedback a Microsoft in vista della futura disponibilità generale.
Conclusioni
Le novità analizzate questo mese confermano l’evoluzione dei servizi Azure verso un modello di gestione sempre più centralizzato, preventivo e trasversale, esteso agli ambienti ibridi e multicloud. Azure Arc rafforza il proprio ruolo di control plane unificato, mentre Defender for Cloud amplia la copertura a database, Kubernetes, container serverless e infrastrutture distribuite su Azure, AWS e Google Cloud.
Particolarmente significativa è la transizione dalla semplice rilevazione delle configurazioni non conformi alla loro prevenzione. L’enforcement per Kubernetes, le Validating Admission Policy e la maggiore granularità delle raccomandazioni permettono di integrare sicurezza e governance direttamente nei processi di deployment e remediation.
Anche Azure Monitor evolve verso un utilizzo più strategico dei dati operativi, grazie all’esportazione dei log storici, all’integrazione con Microsoft Fabric e a metriche più avanzate. A questo si aggiunge il potenziamento di Azure Site Recovery per la protezione dei workload caratterizzati da elevati volumi di scrittura.
Queste funzionalità richiedono però processi strutturati. Il nuovo modello opt-in di Foundational CSPM, ad esempio, rende ancora più importante integrare sicurezza e compliance nelle landing zone, nelle policy e nelle pipeline Infrastructure as Code.
La direzione di Microsoft appare quindi chiara: superare una gestione frammentata e reattiva, facendo convergere governance, sicurezza, resilienza e osservabilità in un unico modello operativo, nel quale l’AI potrà supportare i team IT nell’analisi dei segnali e nella definizione delle priorità.