Lukas Schönbächler · Luglio 2026 · 7 min di lettura
Perché è importante
- In un ambiente ibrido (Microsoft 365 nel cloud, Active Directory on-premise), passare al passwordless con FIDO2 o Windows Hello for Business rompe il Kerberos classico: niente password, niente ticket, niente intranet, niente file share. Cloud Kerberos Trust è la soluzione di Microsoft.
- Microsoft Entra Kerberos trasforma il tuo tenant in un secondo realm Kerberos che emette un TGT parziale; i tuoi domain controller on-premise lo scambiano comunque con quello vero.
- Il vantaggio è il passwordless vero: nessuna password all’accesso e nessuna dietro le quinte, mentre le app intranet e i file share continuano a funzionare.
- Esiste solo su Windows e macOS. Su Android non esiste alcun client Kerberos, e la documentazione di Microsoft stessa consiglia di installare un client SSO di terze parti.
- Hypergate Authenticator è quel client: SSO Kerberos nativo per Android e iOS, passwordless con i certificati (PKINIT), contro gli stessi domain controller di cui il tuo parco Windows si fida già.
La tua azienda distribuisce le chiavi FIDO2 o Windows Hello for Business. L’accesso funziona, Microsoft 365 funziona, sono tutti contenti. Poi qualcuno apre il portale intranet e, al posto della pagina, riceve un errore di autenticazione.
È il problema che Cloud Kerberos Trust esiste per risolvere, e si colloca esattamente nell’ambiente ibrido: Microsoft 365 ed Entra ID nel cloud, Active Directory che continua a gestire i siti intranet su IIS, le applicazioni dietro AD FS e i file share on-premise. Il Kerberos classico ricava la chiave dell’utente da una password. Togli la password e il domain controller non ha nulla da cui costruire un ticket, quindi tutto ciò che si autentica con Kerberos smette di funzionare per quell’utente. Questa singola lacuna ha bloccato più progetti passwordless di qualsiasi questione di licenze.
Cos’è davvero Microsoft Entra Kerberos
Microsoft Entra Kerberos trasforma il tuo tenant Entra ID in un secondo realm Kerberos, KERBEROS.MICROSOFTONLINE.COM, che convive con il realm Active Directory on-premise. Entra ID può così emettere direttamente i ticket Kerberos. Microsoft l’ha introdotto nel 2021, e “Cloud Kerberos Trust” è il modello di distribuzione che lo utilizza per l’accesso con Windows Hello for Business e FIDO2.
Quando un utente accede a una macchina Windows Entra-joined o hybrid-joined, il dispositivo riceve un Primary Refresh Token (PRT) da Entra ID. Insieme al PRT, Entra ID rilascia due ticket Kerberos:
- Un TGT cloud per il realm
KERBEROS.MICROSOFTONLINE.COM. Serve per le risorse cloud che parlano Kerberos, soprattutto Azure Files e Azure SQL Managed Instance. - Un TGT parziale per il tuo dominio AD on-premise. Contiene il SID dell’utente e nient’altro. Nessuna appartenenza ai gruppi, nessun PAC.
Il TGT parziale è la parte interessante. Da solo non dà accesso a nulla. Il client Windows lo porta a un domain controller on-premise e lo scambia con un TGT completo, corredato delle appartenenze ai gruppi. Da lì tutto funziona come sempre: il client richiede i service ticket, l’intranet si carica e il file share si apre.
Figura 1: Il cloud emette solo un ticket parziale. Sono comunque i tuoi domain controller a trasformarlo in accesso reale, ed è per questo che la visibilità di rete verso un DC resta un requisito.
Per rendere possibile lo scambio, crei un oggetto server Microsoft Entra Kerberos nel tuo AD. Tecnicamente è un oggetto read-only domain controller (RODC), ed Entra ID ne usa la chiave per firmare i TGT parziali che i tuoi DC reali accetteranno in seguito. Le liste di autorizzazione e di rifiuto dell’oggetto RODC controllano quali utenti possono usare il meccanismo, e Microsoft raccomanda il rifiuto predefinito con gruppi di autorizzazione espliciti.
Cosa serve
I prerequisiti sono pochi ma rigidi, e descrivono esattamente la configurazione ibrida che la maggior parte delle aziende consolidate già utilizza:
- Identità ibride. Gli utenti devono esistere in AD on-premise e sincronizzarsi con Entra ID tramite Entra Connect.
- L’oggetto server Entra Kerberos in AD, creato con il modulo PowerShell
AzureADHybridAuthenticationManagement. - Windows 10 2004 o versioni successive, Entra-joined o hybrid-joined.
- Domain controller aggiornati per il cloud trust e raggiungibili dal client. Lo scambio da TGT parziale a completo avviene contro un DC reale, quindi la visibilità di rete verso un domain controller resta necessaria per le risorse on-premise. Cloud Kerberos Trust elimina la password, non la dipendenza dalla rete.
Quest’ultimo punto sorprende. Il cloud emette il ticket parziale, ma per tutto ciò che è on-premise il lavoro pesante lo fanno ancora i tuoi DC.
A cosa serve
Tre scenari coprono la maggior parte dell’utilizzo reale.
L’accesso passwordless vero in un ambiente ibrido è il punto forte. Un utente accede con una chiave FIDO2 o Windows Hello e raggiunge comunque tutto ciò che Kerberos protegge: i siti intranet in esecuzione su IIS con autenticazione Windows, le applicazioni dietro AD FS e i file share SMB. Nessuna password all’accesso, nessuna password memorizzata o digitata dietro le quinte, e il parco legacy continua a funzionare. È questo che permette davvero a un’organizzazione ibrida di eliminare la password invece di limitarsi a nasconderla. Eviti anche la distribuzione di un certificato a ogni client richiesta dal vecchio modello certificate trust.
Azure Files è il secondo. Entra ID emette direttamente i service ticket per cifs/<account>.file.core.windows.net, così le VM e i client Entra-joined possono montare i file share di Azure senza contattare un DC. I profile container FSLogix per Azure Virtual Desktop sono il caso più comune. Un avvertimento utile prima di progettare intorno a questa funzione: le policy di conditional access che richiedono l’MFA devono escludere lo storage account, perché il flusso Kerberos non può soddisfare un claim MFA.
L’autenticazione Windows verso Azure SQL Managed Instance è il terzo, utile quando sposti vecchi carichi di lavoro di database in Azure e le stringhe di connessione presuppongono l’autenticazione integrata.
Dove si ferma
Ecco la parte su cui le guide alla distribuzione non si soffermano. L’intero meccanismo poggia su componenti che esistono solo su determinate piattaforme. I ticket vengono recuperati dallo stack delle credenziali di Windows (CloudAP, lo stesso meccanismo che gestisce il PRT) o, da Platform SSO in poi, da macOS. Non esiste un protocollo pubblico con cui qualcos’altro possa richiederli. Un client Kerberos standard non può inviare un AS-REQ a Entra ID e ricevere in cambio un TGT; l’emissione dei ticket è saldata al PRT.
| Piattaforma | Entra Kerberos / Cloud Kerberos Trust | Client Kerberos classico |
|---|---|---|
| Windows 10 (2004+) / 11, Entra-joined o hybrid-joined | Sì | Integrato |
| macOS con Platform SSO | Sì | Integrato |
| iOS / iPadOS | No | Estensione Kerberos SSO di Apple, tramite MDM |
| Linux | No | krb5 / SSSD |
| Android | No | Nessuna soluzione integrata: Hypergate Authenticator |
Non tutti i “No” di quella colonna pesano allo stesso modo. iOS include l’estensione Kerberos Single Sign-on di Apple, che il tuo MDM può configurare per recuperare i ticket dai tuoi domain controller on-premise nel modo classico, con una password o un certificato. Linux porta con sé krb5 e SSSD da decenni. Nessuno dei due può dialogare con il KDC cloud di Entra ID, ma contro un DC raggiungibile fanno il loro lavoro.
Android è l’eccezione: nessun client Kerberos a livello di sistema operativo. Niente da configurare, niente su cui ripiegare. Così, nel momento in cui uno smartphone o un rugged scanner Android in un magazzino deve raggiungere le tue risorse protette da Kerberos, né Cloud Kerberos Trust né la piattaforma hanno qualcosa da offrire. Lo dice Microsoft stessa, in un punto inaspettato: la guida all’installazione del client Global Secure Access su Android osserva che “per abilitare un’esperienza di single sign-on (SSO) Kerberos, installa e configura un client SSO di terze parti”. Il tunnel verso la tua rete è di Microsoft; la parte Kerberos su Android è esplicitamente compito di qualcun altro.
Colmare la lacuna di Android
Trasparenza totale: quel compito è il nostro prodotto. Hypergate Authenticator è un client Kerberos per Android e iOS. Ottiene i ticket dai tuoi domain controller esistenti, usando certificati (PKINIT) o password, e passa i token SPNEGO a browser e app gestiti nello stesso modo in cui Windows lo fa in modo nativo: l’intranet su IIS, le app dietro AD FS, tutto ciò che si aspetta un ticket. Con i certificati, anche il mobile diventa davvero passwordless: lo stesso traguardo che il tuo parco Windows ha appena raggiunto con Cloud Kerberos Trust, e il tuo EMM sa già come distribuirli. Su Android colma un vuoto che la piattaforma lascia aperto; su iOS ti offre un’unica configurazione e un unico comportamento su entrambe le metà del parco mobile, invece di gestire separatamente l’estensione di Apple.
E quando la risorsa di cui i tuoi utenti mobili hanno davvero bisogno è il file share stesso, Hypergate Files si basa sullo stesso SSO Kerberos: un file browser mobile gestito per i tuoi share SMB, così lo scanner del magazzino e il tablet sul campo aprono gli stessi share che i tuoi desktop montano, senza richiesta di password.
Figura 2: Entrambi i percorsi terminano ai domain controller che già gestisci. Cloud Kerberos Trust copre il parco desktop; Hypergate copre il mobile, contro la stessa infrastruttura.
I due approcci si completano a vicenda invece di competere. Cloud Kerberos Trust copre il tuo parco Windows e Mac. Un client Kerberos mobile copre tutto il resto, contro la stessa infrastruttura che già gestisci. Se stai distribuendo Entra Private Access come percorso di rete, la combinazione è semplice: pubblichi i tuoi DC attraverso il tunnel e il client mobile si autentica tramite quello.
In breve
Vale la pena distribuire Cloud Kerberos Trust se gestisci un ambiente ibrido e vuoi un accesso Windows davvero passwordless senza rompere due decenni di infrastruttura protetta da Kerberos. È un ponte ben progettato, e decisamente meno faticoso del modello certificate trust che in gran parte sostituisce. Basta partire conoscendone la forma: solo identità ibride, raggiungibilità del DC ancora necessaria per l’accesso on-premise, esclusioni MFA per Azure Files e nessun Entra Kerberos su ciò che non è Windows o macOS. iOS e Linux possono ripiegare sui loro client Kerberos classici. Android no, e per esso dovrai cercare un client Kerberos. La documentazione di Microsoft lo dice chiaramente.
Stai distribuendo Cloud Kerberos Trust?
Il tuo parco Windows ottiene il Kerberos passwordless. Hypergate Authenticator porta lo stesso SSO silenzioso e passwordless su Android e iOS, e Hypergate Files mette i tuoi share SMB su quei dispositivi, tutto contro gli stessi domain controller, distribuito tramite l’EMM che già utilizzi.
