Autenticazione basata sull'utente per l'app per dispositivi mobili Warehouse Management

L'app mobile Warehouse Management supporta due tipi di autenticazione basata sull'utente:

• Autenticazione per nome utente/password – Il metodo standard per le nuove e le implementazioni esistenti. Funziona senza alcuna configurazione aggiuntiva e non richiede un'app complementare.
• Autenticazione tramite flusso di codice del dispositivo – Un metodo legacy che rimane disponibile per le implementazioni che lo utilizzano ancora. Pianifica il passaggio all'autenticazione tramite nome utente/password, perché le impostazioni predefinite di sicurezza di Microsoft Entra ID bloccano il flusso del codice del dispositivo nei nuovi tenant.

Per capire quale combinazione di account e metodi di accesso si adatta al tuo magazzino, inizia con Scegli un approccio di autenticazione.

Scegliere un approccio di autenticazione

Due decisioni determinano come configurare l'autenticazione. Rispondi in ordine. Le sezioni seguenti forniscono indicazioni generali su cosa supporta ciascuna combinazione. Il tuo reparto IT prende la decisione finale, basandosi sulle politiche di sicurezza della tua organizzazione.

1. Con quale identità accede l'app? Usa o un'identità di lavoratore, dove ogni lavoratore del magazzino ha il proprio account Microsoft Entra ID, oppure un'identità di dispositivo, dove un account condiviso rappresenta device1@contoso.com il dispositivo stesso.
2. Dove si effettua la registrazione? Scegli in locale (sul dispositivo warehouse) o in remoto (su una macchina separata come il PC di un amministratore). Il login remoto viene tipicamente utilizzato quando i dispositivi vengono distribuiti in un sito lontano dalle persone che detengono le credenziali.

La tabella seguente riassume le quattro combinazioni.

In ogni combinazione, ogni lavoratore del magazzino ha comunque un record del lavoratore con uno o più account utente dei dispositivi mobili nel modulo di gestione del magazzino. L'account Microsoft Entra ID autentica l'app con Gestione Supply Chain. L'account utente del dispositivo mobile identifica la persona che svolge il lavoro. Per altre informazioni, vedere Account utente del dispositivo mobile.

Identità del lavoratore, accesso locale

Esempio: Nel centro di distribuzione Contoso di Seattle, ciascuno dei 40 picker ha un account Microsoft Entra ID, come maria@contoso.com. Le console portatili sono conservate in un rack di ricarica. Un lavoratore prende qualsiasi dispositivo dallo rack e accede con le proprie credenziali.

Funziona come segue:

1. Il lavoratore accede sul dispositivo con le proprie credenziali Microsoft Entra ID. Usa il metodo che si adatta alle tue esigenze di sicurezza: username/password, codice QR e PIN, o MFA.
2. Se per il record dell'addetto al magazzino associato al lavoratore è configurato un ID utente predefinito, questa procedura di accesso unificato autentica l'app e consente al lavoratore di accedere come addetto al magazzino in un unico passaggio.
3. Opzionalmente, l'autenticazione brokerata condivide la stessa sessione Microsoft Entra ID con altre app sul dispositivo, come Microsoft Teams o Outlook. Questo passaggio è un'opzione avanzata e non è obbligatorio.

Questa combinazione ti dà i controlli di identità più forti, perché ogni azione risale a una persona nominata e le policy di Accesso Condizionale si applicano a un utente reale.

Identità del lavoratore, accesso remoto

Esempio: Contoso apre un piccolo magazzino satellitare senza personale IT in sede. Un amministratore presso la sede centrale completa l'accesso iniziale per ogni dispositivo prima di spedire il dispositivo al sito.

Gli stessi metodi disponibili per il login locale funzionano anche qui. Puoi anche usare il flusso di codice del dispositivo. Tuttavia, Microsoft non lo raccomanda più perché è un bersaglio comune di attacchi di phishing. Il tuo reparto IT può decidere se è accettabile nel tuo ambiente.

Poiché la persona che inserisce le credenziali spesso non è quella che usa il dispositivo, pianifica i seguenti punti:

• Preferisci un metodo che permetta al lavoratore di effettuare il proprio accesso sul dispositivo, anche quando il dispositivo è configurato da remoto.
• Assicurati di poter revocare le sessioni per un singolo account senza influenzare altri lavoratori.

Identità del dispositivo, accesso locale

Esempio: Contoso monta i terminali sui carrelli elevatori. Ogni terminale si autentica con un account Microsoft Entra ID condiviso, come device1@contoso.com. I driver inseriscono quindi le credenziali del proprio account utente del dispositivo mobile per iniziare a lavorare.

Funziona come segue:

1. L'amministratore configura l'app con l'autenticazione di nome utente/password utilizzando l'account Microsoft Entra ID del dispositivo.
2. Dopo l'autenticazione dell'app, i lavoratori accedono con le credenziali dell'account utente del loro dispositivo mobile (ID utente e password).
3. Quando un lavoratore esce, l'app rimane autenticata con Gestione Supply Chain e mostra la pagina di accesso del lavoratore per la persona successiva.

Questa combinazione funziona meglio quando molti lavoratori condividono un dispositivo e quando non si vuole creare un account Microsoft Entra ID per ogni lavoratore. Tenere presente le limitazioni seguenti:

• Le politiche di Accesso Condizionato sono più difficili da applicare in modo significativo. L'identità di accesso è un dispositivo, non una persona, quindi le politiche che valutano il rischio utente o la MFA per utente non producono risultati utili.
• Gestione Supply Chain attribuisce l'autenticazione delle app all'account del dispositivo. La tracciabilità a livello di lavoratore deriva invece dall'account utente del dispositivo mobile.
• Concedi all'account del dispositivo solo le autorizzazioni richieste per le attività del dispositivo mobile nel magazzino. Per altre informazioni, vedere Account utente del dispositivo mobile.

Identità del dispositivo, accesso remoto

Esempio: Contoso invia terminali preconfigurati a un fornitore logistico terzo. Un amministratore presso la sede autentica ogni dispositivo prima che parta.

Questa combinazione si comporta come l'identità del lavoratore con accesso remoto, ma il rischio è maggiore perché molte persone usano un unico account condiviso e il dispositivo è fuori dal tuo controllo fisico.

Prendi le seguenti precauzioni:

• Usa l'autenticazione per nome utente/password, idealmente con MFA. Il flusso del codice del dispositivo non è consigliato per questa combinazione, ma se sia accettabile dipende da una decisione del tuo reparto IT, in base alle tue politiche di sicurezza.
• Usa un account Microsoft Entra ID separato per ogni dispositivo, invece di un solo account per tutti i dispositivi. Puoi quindi disabilitare o revocare le sessioni per un singolo dispositivo perso senza disturbare il resto della flotta.
• Mantieni i permessi dell'account del dispositivo rigorosamente limitati alle attività sui dispositivi mobili di magazzino.

Considerazioni sulle licenze

L'app mobile Warehouse Management non introduce requisiti propri di licenza per l'identità. Richiede solo che la tua organizzazione abbia un fornitore di identità Microsoft Entra ID e si applichino i termini standard di licenza Microsoft Entra.

Le funzionalità che si sovrappongono all'accesso hanno i propri requisiti di licenza. Controlla i requisiti per ogni funzione che intendi utilizzare:

• Accesso Condizionale – Vedi Cos'è l'Accesso Condizionato?.
• Accesso tramite codice QR e PIN – Vedi Prerequisiti per abilitare il metodo di autenticazione tramite codice QR.
• Piani Microsoft Entra ID in generale – Vedi licenze Microsoft Entra.

Conferma i tuoi diritti specifici con il tuo referente per la licenza e la Guida alle Licenze di Dynamics 365. Questo articolo non sostituisce nessuno dei due. Per altre informazioni, vedere Condizioni per i prodotti Microsoft.

Autenticazione con nome utente/password

L'opzione Nome utente e password utilizza l'autenticazione interattiva standard Microsoft Entra ID per l'account associato sia al dispositivo che al lavoratore (a seconda dell'approccio scelto). I lavoratori potrebbero anche dover inserire l'ID e la password dell'account utente per dispositivi mobili, a seconda dell'impostazione dell'addetto al magazzino.

Microsoft raccomanda l'autenticazione per nome utente/password per tutte le nuove implementazioni ed attuali. Funziona senza alcuna configurazione: l'app consente ai lavoratori di accedere tramite il browser di sistema o una web view nativa e non richiede Microsoft Authenticator, Intune Portale aziendale né altre app complementari. La maggior parte delle missioni in prima linea non ha bisogno di altro che questo.

Se in seguito desideri politiche di single sign-on o Accesso Condizionato che dipendono dai segnali del dispositivo, vedi Advanced: brokered authentication and single sign-on.

Nonostante il nome, l'opzione Nome utente e password supporta anche metodi di accesso interattivi che non utilizzano nome utente e password. Uno di questi è l'accesso tramite codice QR e PIN, disponibile solo su Android e iOS/iPadOS, non su Windows. Permette ai lavoratori di accedere rapidamente su dispositivi condivisi scansionando un codice QR e inserendo un PIN invece di digitare ogni volta un nome utente e una password completi. Questo flusso funziona senza Microsoft Authenticator o Intune Portale aziendale. Scopri di più su come abilitare e utilizzare questo metodo di accesso tramite codice QR e PIN per l'app mobile Warehouse Management.

Usa una registrazione personalizzata dell'applicazione

Di default, l'app utilizza un'applicazione globale fornita e mantenuta da Microsoft, e non è richiesta alcuna registrazione dell'applicazione.

Devi registrare la tua applicazione in Microsoft Entra ID solo se ti connetti a un ambiente on-premises, a un cloud diverso da Azure Global, o hai requisiti specifici che l'applicazione globale non soddisfa. Per la procedura, vedi Crea una registrazione di applicazione personalizzata per l'app mobile Gestione del Magazzino.

Configurare i record dei dipendenti, degli utenti e dei lavoratori del magazzino in Gestione Supply Chain

Prima che i lavoratori possano accedere usando l'app per dispositivi mobili, ogni account Microsoft Entra ID assegnato all'app aziendale in Azure deve avere un record dipendente, un record utente e un record di addetto al magazzino corrispondenti in Gestione Supply Chain. Per informazioni su come impostare questi record, vedi Account utente di dispositivi mobili.

Avanzate: autenticazione mediata e single sign-on

L'autenticazione brokerizzata è una funzionalità avanzata. Non devi usarla. L'app consente ai lavoratori di accedere tramite il browser di sistema o una web view nativa e non richiede Microsoft Authenticator, Intune Portale aziendale né altre app complementari.

Consideralo solo se desideri una delle seguenti cose:

• Single sign-on (SSO) – I lavoratori accedono all'app senza inserire una password, perché l'app riutilizza credenziali di un'altra app sul dispositivo.
• Politiche di accesso condizionato che dipendono dai segnali del dispositivo – Ad esempio, una policy che richiede un dispositivo conforme o gestito. Un broker fornisce quei segnali.

Se non ti serve nessuno dei due, puoi ignorare completamente l'autenticazione brokerata.

Se già usi l'autenticazione brokerata, tienila. Nulla di esso è deprecato e non è richiesta alcuna modifica. Viene descritto come avanzato perché è opzionale, non perché sparirà.

Per i concetti, i requisiti e i passaggi di configurazione, vedi Autenticazione mediata e Accesso Condizionato.

Requisiti di registrazione dei dispositivi

L'app mobile Warehouse Management funziona su un dispositivo in qualsiasi stato di registrazione Microsoft Entra ID. Puoi accedere su tutti i seguenti tipi di dispositivi:

• Dispositivi aggiunti a Microsoft Entra ID
• Dispositivi registrati di Microsoft Entra ID
• Dispositivi che non sono collegati
• Dispositivi che non sono registrati affatto, incluso un dispositivo nuovo e mai registrato

Non è necessario iscriverti o registrare un dispositivo prima che i lavoratori possano accedere.

Due cose possono comunque introdurre un requisito di registrazione, e nessuna delle due deriva dall'app stessa:

• Le tue politiche di accesso condizionato. Se una policy richiede uno stato specifico del dispositivo o uno stato di conformità, tale requisito deriva dalla tua polizza. Scopri di più su Autenticazione Mediata e Accesso Condizionato.
• Autenticazione mediata. Un broker trasmette i segnali del dispositivo a Microsoft Entra ID utilizzando un token legato al dispositivo, così funziona con un dispositivo registrato. Il broker può effettuare la registrazione da solo durante il primo accesso, quindi questo requisito di solito non è qualcosa che si prevede in anticipo.

Scopri di più in Cos'è l'identità del dispositivo in Microsoft Entra ID?.

Rimuovere l'accesso per un dispositivo che utilizza l'autenticazione basata sull'utente

Se un dispositivo viene perso o compromesso, revocare immediatamente l'accesso a Gestione Supply Chain. La disabilitazione dell'account utente Microsoft Entra ID associato revoca l'accesso a tutti i dispositivi che usano tale account. Questa limitazione è il motivo per cui dovresti utilizzare un account separato per ogni dispositivo o per ogni lavoratore, come descritto in Scegli un approccio di autenticazione. Consente di isolare e revocare l'accesso per un singolo dispositivo senza influire sugli altri utenti.

Per revocare l'accesso, seguire questa procedura:

1. Accedi al portale di Azure.
2. Nel riquadro di spostamento a sinistra selezionare Microsoft Entra ID e assicurarsi di restare nella directory corretta.
3. Nell'elenco Gestisci, seleziona Utenti.
4. Trova l'account utente associato al dispositivo o al lavoratore e seleziona il nome per aprire il profilo dell'utente.
5. Dalla barra degli strumenti, seleziona Revoca sessioni per revocare le sessioni dell'account utente.

Autenticazione tramite flusso di codice dispositivo (non raccomandata)

Il flusso di codice del dispositivo è un metodo di accesso in due fasi che è stato originariamente progettato per dispositivi che non dispongono di un browser web. Microsoft non lo consiglia per l'app mobile Warehouse Management per i seguenti motivi:

• È un bersaglio frequente di attacchi di phishing – Un attore minaccioso può chiedere a una vittima di accedere con un codice del dispositivo generato dall'attaccante e poi usare il token risultante per accedere all'account della vittima dal dispositivo dell'attaccante stesso. Microsoft Entra ID non ha un modo affidabile per verificare che la persona che inserisce il codice stia accedendo dal dispositivo che lo ha generato.
• Viene bloccata di default nei nuovi tenant – A partire dal 1° luglio 2026, le impostazioni di sicurezza predefinite di Microsoft Entra ID bloccano il flusso di codice dei dispositivi sui nuovi tenant. Questo comportamento colpisce comunemente nuovi inquilini creati per scopi di test. Se crei un nuovo tenant per testare l'app mobile Warehouse Management, aspettati che il flusso di codice del dispositivo venga bloccato di default. Gli inquilini esistenti non sono automaticamente interessati a meno che non abbiano già attivati i valori predefiniti di sicurezza.
• Non è disponibile ovunque – il flusso di codice dei dispositivi non è supportato su iOS, né per dispositivi Android che si collegano ad ambienti on-premise.
• Non supporta SSO – Non può essere combinato con l'autenticazione brokerata.

Se il tuo ambiente dipende ancora dal flusso del codice del dispositivo (ad esempio, perché usi script di test o flussi di lavoro non ancora aggiornati), un amministratore può sbloccarlo per il tenant disabilitando i valori predefiniti di sicurezza. Poiché i valori di sicurezza predefiniti proteggono l'intero tenant, considera questo cambiamento come un passaggio temporaneo mentre aggiorni la configurazione per l'autenticazione username/password. Per ulteriori informazioni, consulta le impostazioni predefinite di sicurezza di Microsoft Entra ID.

Come funziona il flusso del codice del dispositivo

Quando utilizzi l'autenticazione del codice del dispositivo, l'app per dispositivi mobili Warehouse Management genera e mostra un codice dispositivo univoco. L'amministratore che configura il dispositivo inserisce questo codice in un modulo online, insieme alle credenziali (nome e password) per un account utente Microsoft Entra ID. Questo account può rappresentare sia il dispositivo stesso che il lavoratore umano che accede, a seconda di come l'amministratore implementa il sistema. In alcuni casi, a seconda di come è configurato l'account utente Microsoft Entra ID, l'amministratore potrebbe dover anche approvare il login. Oltre al codice univoco del dispositivo, l'app mobile mostra l'URL in cui l'amministratore deve inserire il codice e le credenziali per l'account utente Microsoft Entra ID.

Requisiti e restrizioni

Se devi continuare temporaneamente a utilizzare l'autenticazione per codice dispositivo, tieni presente i seguenti requisiti e restrizioni aggiuntive:

• Creare un account utente univoco di Microsoft Entra ID per ogni dispositivo o lavoratore umano. Inoltre, questi account devono essere strettamente limitati in modo che possano eseguire solo le attività degli utenti di dispositivi mobili di magazzino.
• Quando un lavoratore effettua l'accesso utilizzando l'app mobile Warehouse Management, l'app mostra un codice dispositivo generato. Questo codice scade dopo 15 minuti e viene quindi nascosto dall'app. Se il codice scade prima che l'accesso sia completato, il lavoratore deve generare un nuovo codice selezionando nuovamente Connetti nell'app.
• Quanto tempo un dispositivo rimane autenticato è controllato dalle politiche di vita del token Microsoft Entra ID e dall'Accesso Condizionato, non dall'app. Quando i token di un dispositivo scadono o vengono revocati, il dispositivo deve essere nuovamente autenticato. Per ulteriori informazioni, consulta i token di aggiornamento nella piattaforma di identità Microsoft.
• L'accesso Single Sign-On (SSO) non è supportato quando si utilizza l'autenticazione del flusso di codice del dispositivo insieme a un sistema di distribuzione di massa mobile (MDM) (ad esempio Intune) per distribuire l'app Gestione magazzino per dispositivi mobili. Puoi comunque utilizzare un sistema MDM per distribuire l'app su ciascun dispositivo mobile e distribuire un file connections.json che imposta le connessioni utilizzando il codice del dispositivo. L'unica differenza è che i lavoratori devono effettuare l'accesso manualmente quando iniziano a utilizzare l'app. Questo passaggio è richiesto solo una volta.

Passa dal flusso con codice del dispositivo all'autenticazione tramite nome utente/password

Per allontanare una distribuzione esistente dal flusso di codice del dispositivo, segui questi passaggi:

1. Conferma che gli account Microsoft Entra ID utilizzati dai dispositivi possano accedere con nome utente e password. Se usi l'applicazione globale fornita da Microsoft, non è necessario altro. Se usi una registrazione personalizzata dell'applicazione, verifica anche che consenta flussi client pubblici.
2. Opzionale: Se vuoi SSO, abilita l'autenticazione brokerata. Su Android e iOS, questo richiede un'app di broker sul dispositivo.
3. Aggiorna le impostazioni di connessione per specificare "ConnectionType": "UsernamePassword" (e, quando usi un broker, "UseBroker": true). Poi ridistribuili tramite il tuo provider MDM, un connections.json file o un codice QR. Scopri di più nel riferimento Impostazioni di connessione e Scegli come distribuire le impostazioni di connessione.
4. Accedi una volta su ciascun dispositivo per completare l'autenticazione con il nuovo metodo.

Informazioni pertinenti

• Domande frequenti sull'autenticazione basata sull'utente
• Autenticazione mediata e accesso condizionato
• Crea una registrazione personalizzata dell'applicazione
• Installare l'app per dispositivi mobili Warehouse Management