Microsoft prevede un rollout globale di Defender RBAC tra l’inizio di dicembre 2026 e la fine di gennaio 2027, secondo la notifica MC1537494 riprodotta in un archivio. Il nuovo modello dovrebbe riunire la gestione delle autorizzazioni per le esperienze nel portale di Microsoft Defender e Microsoft Sentinel. La data di attivazione, però, dipenderà dai workload indicati nel portale di ciascun tenant.
Per pianificare la revisione, il riferimento pratico è la data mostrata nel portale del proprio tenant, non la finestra globale.
La revisione dei ruoli precede l’attivazione
La notifica descrive due fasi. Prima i ruoli esistenti vengono importati nel nuovo modello, così gli amministratori possono controllare e modificare assegnazioni e ambiti da Defender portal > Permissions > Roles. L’importazione, da sola, non ha impatto operativo: il cambiamento entra in vigore quando viene attivato il workload interessato. È anche possibile ripetere manualmente l’importazione.
Il portale indica i workload coinvolti e le rispettive date di attivazione. Per ciascun tenant, l’attivazione automatica è prevista circa 30 giorni dopo la notifica. Una volta attivato il workload, Defender RBAC diventa il modello predefinito per le esperienze del portale comprese nel cambiamento; le assegnazioni legacy non sono più necessarie per quelle esperienze. L’opt-out self-service è disponibile dopo l’attivazione, nelle impostazioni del workload, e ripristina il modello di autorizzazioni precedente.
Quali autorizzazioni rientrano nel cambiamento
Il perimetro riguarda ruoli e accessi ai portali e agli spazi di lavoro Sentinel. Non trasferisce sotto un unico modello tutte le autorizzazioni delle risorse Azure o degli altri servizi Microsoft.
| Ambito | Sistema o trattamento descritto | Conseguenza per gli amministratori |
| Esperienze nei portali Defender e Sentinel | Defender RBAC diventa il modello predefinito per i workload attivati. | Le assegnazioni legacy non sono più necessarie per queste esperienze dopo l’attivazione. |
| Spazi di lavoro Sentinel | I ruoli Sentinel Reader, Sentinel Responder e Sentinel Contributor sono inclusi nel modello. | Le autorizzazioni di questi ruoli rientrano nella revisione e nell’attivazione previste. |
| Risorse Azure | Azure RBAC continua a gestire risorse come Logic Apps e Workbooks. | Le autorizzazioni delle risorse Azure restano distinte dai ruoli degli spazi di lavoro Sentinel. |
| Ruoli di directory Microsoft Entra | Continuano a consentire l’accesso al portale Defender e si associano alle autorizzazioni Defender RBAC. | La gestione dei ruoli di directory resta parte del quadro di accesso al portale. |
| Accesso delegato B2B/GDAP | La gestione delegata e multi-tenant resta invariata; le assegnazioni ai relativi utenti e gruppi vengono importate. | Anche queste assegnazioni vanno incluse nella revisione dei ruoli importati. |
| Purview, Exchange Online e Privileged Identity Management | Le relative autorizzazioni restano invariate. | Non rientrano nel cambiamento descritto. |
| Defender for Office 365 | Il perimetro riguarda Plan 2, anche se compreso in una suite idonea come Microsoft 365 E5. PowerShell continua a funzionare come prima. | La parte interessata è limitata a Plan 2. |
Per chi gestisce ruoli e autorizzazioni tramite API, la notifica indica di passare alla Defender RBAC API. Non descrive una procedura di migrazione per le API.
