Anche questo mese torna la mia rubrica dedicata all’evoluzione dei servizi di management e security in ambito Azure, con uno sguardo attento agli scenari ibridi e multicloud abilitati da Azure Arc e potenziati dall’utilizzo dell’Intelligenza Artificiale.
Questa serie di articoli mensili si propone di:
- offrire una panoramica delle novità più rilevanti introdotte da Microsoft;
- condividere consigli operativi e best practice raccolti dal campo, per aiutare architect e responsabili IT a gestire con efficacia ambienti complessi e distribuiti;
- seguire l’evoluzione verso un modello di gestione centralizzato, proattivo e basato sull’AI, in linea con la visione di Microsoft dell’AI-powered Management.
Gli ambiti principali affrontati in questa rubrica, accompagnati dagli strumenti e servizi di riferimento, sono descritti in questo articolo.
Hybrid and multicloud environment management
Azure Arc
Onboarding di cluster EKS e GKE in Azure Arc tramite Multicloud Connector (preview)
Azure Arc Multicloud Connector introduce in anteprima pubblica l’onboarding automatico dei cluster Amazon EKS e Google GKE verso Azure Arc-enabled Kubernetes.
Il connettore può individuare i cluster presenti negli account AWS e nei progetti GCP collegati, rappresentarli come risorse Azure e installare automaticamente gli agent Azure Arc sui cluster selezionati, eliminando la necessità di script o procedure di onboarding eseguite singolarmente.
Una volta abilitati ad Azure Arc, i cluster EKS e GKE possono essere gestiti insieme ad AKS attraverso Azure Policy for Kubernetes, Microsoft Defender for Cloud, Azure Monitor, GitOps con Flux v2 e Azure Resource Graph.
La preview supporta inoltre sincronizzazione periodica, filtri per region e tag o label, configurazioni proxy e utilizzo di Azure Arc Gateway. Questo consente di estendere più facilmente un modello uniforme di governance, security e observability ai cluster Kubernetes multicloud.
Migrazione diretta da Azure Arc ad Azure SQL Database, incluso Hyperscale (preview)
Azure Arc consente ora di selezionare Azure SQL Database, incluso il tier Hyperscale, come destinazione direttamente dall’esperienza di migrazione dei database.
Il workflow integra Azure Database Migration Service e la configurazione del Self-hosted Integration Runtime nel percorso guidato del portale, permettendo di effettuare assessment, selezionare la destinazione, configurare la migrazione e monitorarne l’avanzamento senza uscire dall’esperienza Azure Arc.
La novità riduce quindi i passaggi necessari tra strumenti differenti e consente di trasformare più rapidamente i risultati degli assessment di SQL Server in attività concrete di modernizzazione verso Azure SQL Database.
Azure Arc-enabled SQL Server disponibile in Italy North
Azure Arc-enabled SQL Server è ora disponibile nella region Italy North, consentendo di connettere a Azure Arc le istanze SQL Server e utilizzare funzionalità centralizzate di inventory, governance, sicurezza, assessment e gestione delle licenze.
La disponibilità regionale consente alle organizzazioni italiane di adottare queste funzionalità mantenendo il riferimento alla region Italy North per la gestione delle risorse abilitate ad Azure Arc.
AI and intelligent automation
Azure MCP Server 3.0: nuove capacità di gestione e automazione basate sull’AI
Microsoft ha reso generalmente disponibile Azure MCP Server 3.0, ampliando le funzionalità accessibili agli agenti AI e agli strumenti di sviluppo attraverso il protocollo aperto Model Context Protocol (MCP). La nuova versione introduce ulteriori capacità di automazione infrastrutturale, protezione dei dati, resilienza e ottimizzazione operativa.
Tra le principali novità figurano le integrazioni con Azure Terraform, che consentono di accedere alla documentazione dei provider, agli Azure Verified Modules e a funzionalità di esportazione delle risorse e validazione delle policy. Sono inoltre disponibili nuovi strumenti per Azure Backup e Azure Resilience Management, dedicati alla protezione dei dati, alla pianificazione del recovery e alla verifica della resilienza, mentre l’integrazione con Azure Advisor amplia le possibilità di analisi e ottimizzazione delle risorse.
La versione 3.0 migliora anche l’affidabilità delle integrazioni, introduce configurazioni di sicurezza predefinite più rigorose per diversi servizi Azure e supporta output strutturati. Considerata la presenza di breaking changes, Microsoft raccomanda di verificare la compatibilità delle integrazioni esistenti prima dell’aggiornamento.
Questa evoluzione rafforza il ruolo di Azure MCP Server come interfaccia per integrare le capacità di management e governance di Azure nei workflow operativi supportati dall’Intelligenza Artificiale.
Security posture across hybrid and multicloud infrastructures
Microsoft Defender for Cloud
Gestione delle Posture Policy e delle esenzioni in Microsoft Defender (preview)
Microsoft ha introdotto in anteprima pubblica la gestione delle Posture Policy e delle esenzioni dalle raccomandazioni direttamente nel portale Microsoft Defender per gli ambienti Azure. La nuova esperienza consente di valutare la postura di sicurezza delle risorse rispetto alla baseline di Microsoft Defender for Cloud e di definire policy personalizzate in funzione dei requisiti aziendali, operativi e di compliance. È inoltre possibile gestire centralmente le esenzioni, monitorandone il ciclo di vita e migliorando la governance dei rischi accettati. La funzionalità rappresenta un ulteriore passo verso la centralizzazione del Cloud Security Posture Management nel portale Microsoft Defender.
Estensione delle funzionalità di onboarding dei server in Microsoft Defender
Microsoft ha ampliato la nuova esperienza di sicurezza dei server nel portale Defender, introducendo procedure di onboarding per macchine virtuali Azure e server on-premises. La funzionalità supporta l’onboarding automatico tramite Defender for Servers per le VM Azure e i server abilitati ad Azure Arc, oltre a modalità manuali per sistemi Windows e Linux attraverso Defender for Endpoint. I server on-premises possono essere integrati mediante Azure Arc oppure Direct Onboarding. La nuova esperienza permette inoltre di verificare lo stato di onboarding e consultare le modalità di offboarding disponibili. I server già protetti da Defender for Endpoint non richiedono reinstallazioni o migrazioni.
Gestione dei piani di sicurezza cloud nel portale Microsoft Defender (preview)
Microsoft ha annunciato l’introduzione in anteprima pubblica della gestione dei piani di sicurezza cloud direttamente nel portale Microsoft Defender per gli ambienti Azure commerciali. La nuova esperienza consente di collegare subscription e management group, abilitare e configurare centralmente i piani di protezione e monitorarne i costi. Viene inoltre introdotto un nuovo modello di fatturazione basato sulle Defender Workload Units (DWU), con strumenti dedicati alla stima della spesa e trial gratuiti di 30 giorni per i piani idonei. Con la migrazione alla nuova esperienza, la configurazione dei piani viene gestita dal portale Defender, mentre nel portale Azure rimane disponibile in sola lettura.
Nuova esperienza di sicurezza dei server in Microsoft Defender
Microsoft ha introdotto una nuova esperienza unificata per la sicurezza dei server, integrando nel portale Microsoft Defender le informazioni provenienti da Defender for Endpoint e Defender for Servers. La nuova pagina degli asset combina dati cloud ed endpoint e consente di analizzare server, alert, incident e relazioni nell’attack graph. La funzionalità Go hunt permette inoltre di approfondire le investigazioni attraverso attività di threat hunting. La gestione degli accessi viene centralizzata tramite RBAC, device group e cloud scope, offrendo una visione più completa e coerente della sicurezza dei server negli ambienti ibridi.
Raccomandazioni KSPM a livello di workload controller
Microsoft Defender for Cloud ha aggiornato le raccomandazioni relative alle configurazioni non conformi di Kubernetes Security Posture Management, spostandone l’ambito dalle singole istanze container ai controller Kubernetes di livello superiore, come Deployment e StatefulSet. La modifica consente di associare le raccomandazioni direttamente alle risorse che gestiscono il ciclo di vita dei workload, rendendo più efficace l’identificazione delle configurazioni da correggere. Il cambiamento può comportare variazioni nel numero delle raccomandazioni visualizzate e nel relativo impatto sul Secure Score.
Scansione malware on-demand selettiva in Microsoft Defender for Storage
Microsoft Defender for Storage supporta ora la scansione malware on-demand di elementi specifici, senza richiedere necessariamente l’analisi dell’intero storage account. È possibile limitare la scansione a singoli blob o file, container, file share oppure a oggetti identificati tramite un prefisso di percorso. La selezione avviene attraverso filtri definiti nelle richieste REST API, mentre in assenza di filtri viene analizzato l’intero storage account. La maggiore granularità semplifica le verifiche mirate e l’integrazione della scansione nei processi automatizzati di sicurezza e incident response.
Governance and policy management
Azure Policy
Azure Policy Linter diventa open source
Microsoft ha pubblicato come progetto open source Azure Policy Linter, uno strumento command-line progettato per individuare errori, problematiche note e deviazioni dalle best practice durante la scrittura delle definizioni Azure Policy.
Il linter permette di anticipare i controlli nella fase di sviluppo, prima che una policy venga assegnata agli ambienti Azure, e può essere integrato nelle pipeline CI/CD. Supporta l’analisi di singole definizioni o intere librerie, output JSON utilizzabile nei processi automatizzati e differenti rule set configurabili.
La disponibilità open source favorisce quindi un approccio shift-left alla governance, riducendo il rischio che policy non corrette blocchino deployment legittimi o producano risultati di compliance fuorvianti.
Backup & Resilience
Azure Backup
Cross-Tenant Restore con Azure Backup (preview)
Azure Backup introduce in anteprima pubblica la funzionalità Cross-Tenant Restore (CTR), che consente di ripristinare i backup delle macchine virtuali Azure in un tenant differente da quello di origine. La soluzione permette di predisporre un percorso di recovery indipendente, rafforzando la resilienza agli attacchi informatici e agli scenari di compromissione del tenant principale. Il ripristino utilizza le copie di backup già esistenti, senza richiedere la creazione e la gestione di duplicati dei dati. Questa capacità amplia le possibilità di progettazione delle strategie di Disaster Recovery e Cyber Recovery, introducendo un ulteriore livello di isolamento tra l’ambiente di produzione e quello di ripristino.
Item-Level Recovery per VM con Premium SSD v2 e Ultra Disk
Azure Backup supporta ora l’Item-Level Recovery per le macchine virtuali Azure che utilizzano dischi Premium SSD v2 e Ultra Disk, con settori logici da 512 byte o 4 KB.
È quindi possibile recuperare singoli file e cartelle da un recovery point senza eseguire il ripristino completo del disco o della VM. Tramite portale Azure, CLI o PowerShell è possibile generare l’eseguibile o lo script di file recovery, accedere al punto di ripristino e copiare selettivamente i dati necessari.
Azure Backup per PostgreSQL Flexible Server ed Elastic Cluster v2 (preview)
Azure Backup introduce in anteprima una nuova versione della protezione per PostgreSQL Flexible Server ed Elastic Cluster, basata su backup fisici ottenuti tramite snapshot dei managed disk e archiviati in un Azure Backup vault.
La soluzione supporta server fino a 32 TB su Premium SSD v1 e fino a 64 TB su Premium SSD v2. Dopo il primo backup completo, quelli successivi sono incrementali, con pianificazioni giornaliere o settimanali, backup on-demand e retention configurabile da 7 giorni fino a 10 anni.
Rispetto alla versione precedente, il nuovo modello elimina il limite di 1 TB e introduce il Restore as Server, consentendo il ripristino direttamente su un Flexible Server o Elastic Cluster pre-creato senza storage intermedio o import manuali. Sono inoltre supportati soft delete, immutabilità, Multi-user Authorization, crittografia con Customer Managed Key e backup WORM.
Azure Site Recovery
Azure Site Recovery per server Windows VMware e fisici abilitati ad Azure Arc
Azure Site Recovery supporta ora il Disaster Recovery dei server Windows VMware e dei server fisici on-premises abilitati ad Azure Arc.
Le organizzazioni possono quindi proteggere con ASR le macchine già gestite tramite Azure Arc, continuando a utilizzare Arc per inventory, governance, monitoring e gestione centralizzata.
L’integrazione semplifica la gestione degli ambienti ibridi, consentendo di affiancare alle funzionalità di management offerte da Azure Arc anche capacità di Disaster Recovery attraverso Azure Site Recovery.
Monitoring
Azure Monitor
Metriche di Network Security Perimeter
Le metriche di Network Security Perimeter sono ora disponibili e consentono di monitorare attraverso Azure Monitor il traffico associato alle risorse protette dal perimetro.
Le metriche permettono di analizzare richieste consentite e negate, traffico inbound e outbound, pattern di accesso e tentativi inattesi, oltre a verificare l’impatto delle modifiche alle regole. Possono inoltre essere utilizzate per definire una baseline prima del passaggio di un perimetro dalla modalità Transition alla modalità Enforced.
Essendo integrate in Azure Monitor, possono essere utilizzate per realizzare dashboard, workbook, analisi dei trend e alert operativi.
Advanced Platform Metrics per Azure Monitor
Le Advanced Platform Metrics di Azure Monitor sono ora disponibili e introducono segnali più granulari per identificare con maggiore rapidità variazioni, trend e anomalie nelle risorse monitorate.
La funzionalità può essere abilitata direttamente dal portale Azure ed è ora disponibile anche negli ambienti Fairfax e Mooncake, estendendo la copertura oltre il cloud pubblico.
Metrics Usage Insights per Azure Monitor Workspace
Metrics Usage Insights è ora disponibile e consente di comprendere meglio come vengono utilizzate le metriche all’interno di un Azure Monitor Workspace. La funzionalità permette di monitorare l’utilizzo complessivo, individuare metriche inutilizzate, analizzare i trend e investigare variazioni nei volumi di ingestion. Queste informazioni supportano sia l’ottimizzazione dei costi sia la pianificazione della capacità del workspace.
Monitoraggio delle prestazioni SQL gestito da Microsoft (preview)
Microsoft ha esteso in anteprima pubblica il monitoraggio delle prestazioni SQL gestito dalla piattaforma a SQL Server su Azure Virtual Machines, Azure SQL Database e SQL Server abilitato ad Azure Arc. La telemetria viene raccolta e gestita direttamente da Microsoft, evitando la necessità di creare pipeline o script personalizzati.
Dashboard a livello di singola risorsa e dell’intero estate consentono di individuare trend, anomalie e colli di bottiglia. L’integrazione con Fabric Database Hub offre una vista unificata, mentre per analisi avanzate i dati possono essere interrogati tramite Kusto Query Language attraverso endpoint protetti da RBAC. Per SQL Server abilitato ad Azure Arc sono inoltre disponibili dashboard Grafana integrate e la possibilità di collegare ambienti Grafana esistenti allo stesso endpoint di telemetria.
Hardware Audit Logging per Azure Cloud HSM
Azure Cloud HSM introduce l’Hardware Audit Logging, che consente di generare record di audit direttamente dall’HSM per le operazioni di gestione supportate.
I log includono informazioni leggibili, dati binari firmati dall’HSM, firme e certificati, permettendo alle organizzazioni di verificarne in modo indipendente autenticità e integrità. Gli eventi vengono inviati ad Azure Monitor Log Analytics e possono quindi essere integrati nei processi esistenti di monitoring, compliance e analisi forense.
La funzionalità rafforza la tracciabilità delle operazioni critiche e supporta scenari con requisiti elevati di governance e controllo.
Conclusioni
Le novità di ottobre 2026 rafforzano un percorso di integrazione tra gestione, sicurezza e resilienza degli ambienti ibridi e multicloud. Azure Arc consolida il proprio ruolo di raccordo tra infrastrutture e servizi, mentre l’evoluzione di Microsoft Defender ed Azure Monitor favorisce una visione più coerente di risorse, rischi e prestazioni. Le nuove possibilità di automazione, anche attraverso l’Intelligenza Artificiale, rendono ancora più importante disporre di inventari aggiornati, policy validate e responsabilità operative ben definite. Per chi gestisce questi ambienti, il consiglio è procedere con un’adozione graduale, guidata dalle esigenze concrete: sperimentare le funzionalità in preview in contesti controllati, verificare la compatibilità delle integrazioni e valutare gli impatti sui costi e sui processi esistenti. Anche le nuove opzioni di backup e Disaster Recovery devono essere accompagnate da prove periodiche di ripristino, per verificarne l’efficacia rispetto agli obiettivi di recupero. Il valore di queste evoluzioni si misura nella capacità di trasformarle in processi affidabili e sostenibili, con risultati verificabili in termini di protezione, efficienza e continuità operativa.