Entra ID P1 vs P2: le 3 funzionalità che giustificano l'upgrade (2025)

Q: Cosa aggiunge Entra ID P2 rispetto a P1?

Entra ID P2 aggiunge tre funzionalità non presenti in P1: Identity Protection (policy di accesso basate sul rischio con ML), Privileged Identity Management o PIM (accesso admin just-in-time con workflow di approvazione) e Access Reviews (audit periodici automatizzati di chi ha accesso a cosa).

Q: Quanto costano Entra ID P1 e P2?

Entra ID P1 costa 6$/utente/mese (circa 5,60€). P2 costa 9$/utente/mese (circa 8,40€). La differenza di 3$/utente/mese dà accesso a Identity Protection, PIM e Access Reviews. Entrambi richiedono impegno annuale.

Q: È possibile combinare licenze P1 e P2 nello stesso tenant?

Sì. Si possono assegnare le licenze P2 solo agli utenti che necessitano di PIM o sono soggetti a policy di rischio Identity Protection — tipicamente gli admin IT e gli utenti con accesso a sistemi critici — mantenendo gli altri su P1. Questo riduce significativamente i costi.

Q: Che cos'è Microsoft Entra Suite?

La Microsoft Entra Suite raggruppa cinque prodotti avanzati: Private Access (ZTNA per app on-premises), Internet Access (SWG), ID Protection, ID Governance e Verified ID Face Check. Richiede P1 come prerequisito ed è pensata per organizzazioni che vogliono costruire un'architettura Zero Trust completa che copra anche la sicurezza degli accessi di rete.

In sintesi

P2 aggiunge esattamente tre funzionalità rispetto a P1: Identity Protection, Privileged Identity Management (PIM) e Access Reviews

P1 costa 6$/utente/mese; P2 costa 9$/utente/mese — una differenza di 3$ che conta su scala

Il 91% delle organizzazioni ha segnalato una violazione legata alle identità nell’ultimo anno (SpyCloud, 2025) — la domanda non è se la sicurezza delle identità è importante, ma quali controlli servono davvero

Se gli admin IT hanno accesso elevato permanente e operi in un settore regolamentato, P2 si ripaga da solo

Molte organizzazioni hanno già P1 o P2 incluso nelle licenze Microsoft 365 E3/E5 senza saperlo

Entra ID P1 vs P2: cosa cambia davvero

La risposta onesta è semplice. Entra ID P2 aggiunge tre funzionalità rispetto a P1:

Identity Protection — scoring del rischio basato su ML per ogni accesso, con policy automatiche che possono bloccare, sfidare o consentire l’accesso in base al rischio in tempo reale
Privileged Identity Management (PIM) — elevazione just-in-time per i ruoli admin, con limiti di tempo, workflow di approvazione e log di audit completi. Niente più Global Admin assegnati in modo permanente
Access Reviews — audit automatici periodici che chiedono a manager o utenti se hanno ancora bisogno di un determinato accesso, con rimozione automatica in caso di mancata risposta

Tutto il resto in P2 è già in P1. Accesso condizionale, MFA, SSPR, sincronizzazione ibrida, gruppi dinamici — tutto P1.

Secondo il Microsoft 2025 Digital Defense Report, l’80% delle violazioni che aggirano l’MFA sfrutta il furto di session token tramite attacchi adversary-in-the-middle. Identity Protection in P2 rileva questi pattern e può bloccare l’accesso automaticamente — una capacità che il solo accesso condizionale di P1 non può replicare (Microsoft Security, 2025).

Che cos’è Microsoft Entra ID?

Entra ID (ex Azure Active Directory) è la piattaforma di identità cloud di Microsoft. Gestisce autenticazione e autorizzazione per Microsoft 365, Azure e migliaia di applicazioni SaaS integrate. Ogni utente nel tenant Microsoft ha un’identità Entra ID.

Il nostro team ha realizzato un video dedicato che spiega cos’è Entra ID e come funziona:

La piattaforma è disponibile in quattro livelli: Free, P1, P2 e Entra Suite. Free copre le basi. P1 e P2 sono i livelli a pagamento che la maggior parte delle organizzazioni confronta. Entra Suite è il bundle per chi ha bisogno anche di sicurezza degli accessi di rete (ZTNA, SWG).

Entra ID Free: la base di partenza

Il livello gratuito copre ciò che ogni tenant Microsoft ha per impostazione predefinita:

Gestione base di utenti e gruppi (gruppi statici)
Sincronizzazione hash delle password e autenticazione pass-through
SSO per app Microsoft e SaaS di terze parti limitati
MFA solo a livello di tenant (nessuna granularità per utente o gruppo)
SSPR solo per utenti cloud

Free va bene per organizzazioni molto piccole con configurazioni semplici. Nel momento in cui si ha bisogno di policy di accesso condizionale, MFA granulare o integrazione on-premises, serve P1.

Entra ID P1: la base di sicurezza pratica

P1 è incluso in Microsoft 365 E3, M365 Business Premium, EMS E3 e Microsoft 365 F1. Se hai una di queste licenze, hai già P1.

Principali aggiunte rispetto a Free:

Motore di accesso condizionale — controllo completo delle policy basato su utente, dispositivo, posizione, app e segnali di rischio. La base della sicurezza Zero Trust delle identità
MFA basata su gruppi — assegna requisiti MFA diversi a gruppi di utenti diversi, non solo impostazioni di tenant
Gruppi dinamici — assegna automaticamente gli utenti a gruppi in base agli attributi (reparto, titolo, posizione)
SSPR per utenti ibridi — estende il self-service password reset agli account on-premises
Sincronizzazione identità ibrida — sincronizza Active Directory on-premises con Entra ID, incluso il password writeback
Gestione durata sessione — controlla la scadenza dei token per le applicazioni ad alto rischio
Sincronizzazione cross-tenant — mantiene politiche di sicurezza coerenti su più tenant Azure AD

Per la maggior parte delle PMI e delle organizzazioni mid-market, P1 è sufficiente. Copre tutti i building block Zero Trust standard senza la governance avanzata delle identità che P2 aggiunge.

Entra id features Panoramica delle funzionalità principali di Microsoft Entra ID

Entra ID P2: le tre aggiunte da conoscere

P2 è incluso in Microsoft 365 E5, EMS E5, Microsoft 365 E5 Security e Microsoft 365 A5.

1. Identity Protection

Identity Protection analizza continuamente ogni accesso alla ricerca di indicatori di rischio: credenziali compromesse, indirizzi IP anonimi, viaggi atipici, anomalie nei token, IP associati a malware. Ogni accesso riceve un punteggio di rischio in tempo reale (basso/medio/alto).

Si possono poi creare policy di accesso condizionale basate sul rischio:

Policy di rischio utente: se le credenziali di un utente compaiono in un elenco di violazioni, richiedere un cambio password prima del prossimo accesso
Policy di rischio di accesso: se un accesso ottiene un rischio medio, richiedere MFA; se alto, bloccare completamente

Il 22% di tutte le violazioni enterprise nel 2025 è iniziato con credenziali rubate (Verizon DBIR, 2025). La risposta automatica di Identity Protection alle credenziali compromesse è la giustificazione più chiara per P2 nella maggior parte delle organizzazioni.

2. Privileged Identity Management (PIM)

PIM elimina l’accesso admin permanente. Invece di assegnare in modo permanente il ruolo Global Admin o altri ruoli privilegiati, li si configura come eligibili. Quando un admin ha bisogno di accesso elevato:

Richiede l’attivazione tramite il portale Entra o l’app PIM
Fornisce una giustificazione (e facoltativamente passa per un’approvazione)
L’accesso viene concesso per una finestra definita (es. 1-4 ore)
L’accesso scade automaticamente e l’intera sessione viene registrata

Questo conta perché gli account admin permanenti sono un target primario per gli attaccanti. Un account admin che ha accesso elevato solo per 2 ore su 720 riduce drasticamente la superficie di attacco.

PIM abilita anche le PIM-based Access Reviews, ovvero la revisione di chi è eligibile per i ruoli privilegiati, non solo di chi ha assegnazioni attive.

3. Access Reviews

Le Access Reviews automatizzano la domanda di governance: “questa persona ha ancora bisogno di questo accesso?” Si configura una cadenza di revisione (mensile, trimestrale, annuale), si assegnano i revisori (manager, proprietari della risorsa o gli utenti stessi) e si stabilisce cosa succede quando non arriva risposta — tipicamente l’accesso viene rimosso.

Senza Access Reviews, l’accumulo di accessi non viene controllato. Gli utenti cambiano ruolo, lasciano progetti o si spostano in altri reparti mentre i permessi precedenti rimangono intatti. Le Access Reviews sono il modo strutturato per chiudere questo gap, e sono un requisito di compliance diretto per NIS2, ISO 27001 e SOC 2.

Per approfondire i requisiti di compliance NIS2, leggi la nostra guida NIS2.

P1 o P2: quale scegliere?

Scenario	Raccomandazione
PMI, meno di 100 utenti, nessun admin con ruoli elevati	P1 è sufficiente
Abbonamento Microsoft 365 E3	P1 è già incluso
Team IT con Global Admin o assegnazioni admin permanenti	P2 (PIM)
Settore regolamentato (finanza, sanità, legale)	P2 (Identity Protection + Access Reviews)
Precedenti di compromissione credenziali o phishing	P2 (Identity Protection)
Requisiti di audit sulla governance degli accessi	P2 (Access Reviews)
Abbonamento Microsoft 365 E5	P2 è già incluso

Un approccio pratico per ottimizzare i costi: assegna P2 solo agli account eligibili per ruoli privilegiati o soggetti a policy di rischio Identity Protection — tipicamente admin IT e utenti con accesso a sistemi critici. La maggior parte degli utenti finali può restare su P1. Un’organizzazione di 500 utenti in cui 15 persone hanno accesso admin potrebbe aver bisogno di licenze P2 per 15-20 utenti, non per 500.

Prezzi e riepilogo licenze

Piano	Prezzo standalone	Incluso in
Entra ID Free	$0	Tutti i piani Microsoft 365
Entra ID P1	6$/utente/mese (≈€5,60)	M365 E3, M365 Business Premium, EMS E3, M365 F1
Entra ID P2	9$/utente/mese (≈€8,40)	M365 E5, EMS E5, M365 E5 Security, M365 A5
Entra Suite	12$/utente/mese	Add-on (richiede P1)

I prezzi sono in USD con impegno annuale. Prima di acquistare P1 o P2 standalone, verifica cosa è già incluso nella tua sottoscrizione Microsoft 365. Molte organizzazioni pagano licenze Entra extra senza sapere di averle già coperte.

Microsoft Entra Suite: quando P2 non basta

La Entra Suite raggruppa cinque prodotti in un’unica SKU a 12$/utente/mese:

Private Access: ZTNA per le applicazioni on-premises, sostituisce la VPN legacy
Internet Access: secure web gateway (SWG) con filtraggio dei contenuti e ispezione TLS
ID Protection: uguale a Identity Protection di P2
ID Governance: gestione automatizzata del ciclo di vita delle identità (joiners, movers, leavers)
Verified ID Face Check: verifica decentralizzata delle credenziali con controllo biometrico del volto

La Entra Suite richiede P1 come prerequisito. È pensata per organizzazioni che si muovono verso un’architettura Zero Trust completa, sostituendo la sicurezza perimetrale basata sulla rete con controlli di accesso basati sull’identità sia per il traffico interno che internet.

Tabella comparativa: Free vs P1 vs P2 vs Entra Suite

Funzionalità	Free	P1	P2	Suite
SSO di base	Sì	Sì	Sì	Sì
MFA (livello tenant)	Sì	Sì	Sì	Sì
MFA basata su gruppi	No	Sì	Sì	Sì
Accesso condizionale	No	Sì	Sì	Sì
Gruppi dinamici	No	Sì	Sì	Sì
Sincronizzazione ibrida	No	Sì	Sì	Sì
SSPR (cloud + ibrido)	Solo cloud	Sì	Sì	Sì
Identity Protection	No	No	Sì	Sì
Privileged Identity Management	No	No	Sì	Sì
Access Reviews	No	No	Sì	Sì
Private Access (ZTNA)	No	No	No	Sì
Internet Access (SWG)	No	No	No	Sì
ID Governance	No	No	No	Sì

FAQ

Cosa aggiunge Entra ID P2 rispetto a P1? Entra ID P2 aggiunge tre funzionalità: Identity Protection (scoring del rischio ML per ogni accesso), Privileged Identity Management (accesso admin just-in-time con workflow di approvazione) e Access Reviews (audit periodici automatizzati). Tutto il resto — accesso condizionale, MFA, sincronizzazione ibrida, gruppi dinamici — è già in P1.

Quanto costano Entra ID P1 e P2? P1 costa 6$/utente/mese (circa €5,60). P2 costa 9$/utente/mese (circa €8,40). La differenza di 3$ per utente dà accesso a Identity Protection, PIM e Access Reviews. Entrambi richiedono impegno annuale. Molte organizzazioni hanno già P1 o P2 incluso nelle licenze Microsoft 365 E3 o E5.

Quali licenze Microsoft 365 includono Entra ID P1 o P2? P1 è incluso in Microsoft 365 E3, Microsoft 365 Business Premium, EMS E3 e Microsoft 365 F1. P2 è incluso in Microsoft 365 E5, EMS E5, Microsoft 365 E5 Security e Microsoft 365 A5. Verifica sempre la tua sottoscrizione prima di acquistare separatamente.

Entra ID P1 è sufficiente per la maggior parte delle organizzazioni? Per la maggior parte delle PMI senza requisiti di compliance stringenti, P1 copre le principali esigenze di sicurezza: accesso condizionale, MFA, SSPR e sincronizzazione ibrida. P2 vale l’upgrade quando ci sono admin IT con accesso elevato permanente, si opera in un settore regolamentato, o sono necessari audit strutturati sulla governance degli accessi.

È possibile combinare licenze P1 e P2 nello stesso tenant? Sì. Si possono assegnare licenze P2 solo agli utenti che necessitano di PIM o sono soggetti a policy di rischio Identity Protection — tipicamente admin IT e utenti con accesso a sistemi critici — mantenendo la maggior parte degli utenti finali su P1. Questo approccio riduce i costi mantenendo la compliance dove serve davvero.

Che cos’è Microsoft Entra Suite? La Entra Suite raggruppa Private Access (ZTNA per app on-premises), Internet Access (SWG), ID Protection, ID Governance e Verified ID Face Check in un’unica SKU a 12$/utente/mese. Richiede P1 come prerequisito ed è pensata per organizzazioni che costruiscono un’architettura Zero Trust completa che copre anche la sicurezza degli accessi di rete.