Governance degli Hero Links Microsoft 365 per gli MSP

Per i Managed Service Provider (MSP), gli Hero Links trasformano un problema noto di condivisione in un tema di gestione del cambiamento multi-tenant. I clienti riceveranno il rollout in momenti diversi, applicheranno policy di sito differenti e manterranno link legacy. L’opportunità di servizio è offrire visibilità ed evidenze coerenti, non una modifica una tantum.

Ultimo aggiornamento: 27 agosto 2026. Verifica MC1454378 in ogni tenant gestito.

Perché serve un piano per ciascun tenant

La Roadmap 492622 indica l’avvio del rollout a settembre 2026, mentre il Message Center descrive una distribuzione fino a fine ottobre. Un MSP può quindi gestire tenant con la nuova finestra, tenant con l’esperienza precedente e tenant in cui la modifica è visibile solo ad alcuni utenti o workload.

Uno stato globale come “Hero Links attivi” è troppo generico. Registra data dell’evidenza, tenant, workload, sito pilota, popolazione utente e segnale di rollout.

La coesistenza fra Hero e legacy sarà la normalità

I link esistenti resteranno in Other links. Un tenant può contenere contemporaneamente Hero Links, vecchi link Anyone e Organization, link Persone specifiche, autorizzazioni dirette, guest, accesso di gruppo ed ereditarietà SharePoint.

Il reporting MSP non dovrebbe sostituire l’inventario legacy con una colonna Hero Link, ma aggiungere lo stato del nuovo collegamento principale al modello di accesso.

Le differenze fra siti contano

DefaultMainLinkScope è documentato per singolo sito SharePoint o OneDrive; il Message Center non descrive una proprietà tenant-wide separata equivalente. Le policy tenant e sito possono limitare Anyone. Due siti dello stesso cliente possono quindi mostrare valori predefiniti e audience consentite diverse.

Conserva sia la configurazione sia il comportamento effettivo osservato. Un’impostazione priva di contesto non prova l’accesso.

Un modello operativo MSP ripetibile

1. Scoperta

Mantieni un registro dei tenant con stato Message Center, risultato del pilota, policy, eccezioni di sito e data del controllo. Crea una baseline dei siti importanti.

2. Classificazione

Classifica link Hero e legacy per audience, ruolo, tipo di elemento, sensibilità, identità esterne, proprietà, evidenza di scadenza e completezza dell’osservazione.

3. Rilevazione dei cambiamenti

Prioritizza ampliamento dell’audience, abilitazione della modifica, rimozione del blocco download, nuovo accesso anonimo, cartelle ad alto impatto ed eccezioni inattese. Verifica quali eventi di audit catturino le modifiche prima di promettere alert.

4. Revisione

Fornisci una coda che spieghi perché un elemento merita attenzione. Un export piatto di migliaia di permission trasferisce il lavoro al cliente.

5. Correzione prudente

Verifica accesso effettivo e Other links prima di intervenire. La documentazione Graph pubblica non dimostra ogni possibile remediation degli Hero Links. Usa interfacce supportate e change control approvato.

6. Evidenze

Registra approvazione, stato prima e dopo, superficie utilizzata e lacune. In questo modo la governance diventa un servizio ricorrente.

Reporting utilizzabile dal cliente

Un report mensile o trimestrale può includere:

• stato del rollout e della validazione per tenant;
• siti esaminati e gap di copertura;
• Hero Links per audience e ruolo;
• cambiamenti dall’osservazione precedente;
• link legacy in Other links;
• guest e autorizzazioni rilevanti per l’accesso effettivo;
• elementi prioritari ed esiti delle correzioni;
• limiti ancora aperti della documentazione o delle API Microsoft.

Comunica conteggi soltanto quando la copertura è nota. “Nessun link rischioso” è fuorviante se un tenant, sito o drive non è stato letto.

Offboarding nei tenant gestiti

L’uscita di un dipendente verifica proprietà e continuità. La disattivazione del creatore non annulla necessariamente un URL o le autorizzazioni. La procedura MSP dovrebbe controllare ciclo di vita OneDrive, proprietà successiva, gruppi, guest, Hero e legacy link e requisiti di conservazione. Consulta la guida sui link dopo l’uscita di un dipendente.

Alert e livelli di servizio

Non promettere alert in tempo reale finché segnale di audit, latenza API e copertura dei campi non sono verificati. Inizia con frequenze basate sulle evidenze: siti più sensibili possono richiedere controlli più frequenti. Definisci cosa significa “rilevato” e come i dati parziali influenzino lo SLA.

I limiti dell’amministrazione manuale

Manage Access è utile per un elemento e PowerShell per siti noti. Su molti tenant i controlli manuali diventano incoerenti. Serve un flusso standardizzato di inventario e revisione, ma ogni automazione deve dichiarare autorizzazioni, errori e operazioni non supportate.

Usa la guida pillar ai Microsoft 365 Hero Links come riferimento tecnico comune per i team dei clienti.

SharedLinks365 per gli MSP

SharedLinks365 è progettato per la governance mirata della condivisione Microsoft 365 per aziende e MSP. Gli Hero Links sono in validazione tecnica. La direzione è rendere più semplice rivedere lo stato osservato e i fattori di rischio tra ambienti cliente; non è un’affermazione che rilevamento, alert o remediation siano già disponibili.

Consulta SharedLinks365 per MSP e la checklist multi-tenant.

Checklist di preparazione MSP

• Assegna un responsabile del rollout.
• Leggi MC1454378 in ogni tenant.
• Scegli siti pilota e identità approvate.
• Crea una baseline prima del rollout.
• Registra policy e DefaultMainLinkScope per sito.
• Verifica insieme Hero e Other links.
• Convalida Graph e audit prima di automatizzare.
• Definisci soglie e approvazioni per cliente.
• Integra offboarding e proprietà.
• Comunica chiaramente i gap documentali.

Domande frequenti

Tutti i tenant riceveranno Hero Links nello stesso momento?

No. Il rollout è scaglionato; ogni tenant va monitorato separatamente.

Esiste un solo valore predefinito tenant-wide?

Microsoft documenta DefaultMainLinkScope a livello sito o OneDrive e non ha descritto un equivalente separato tenant-wide per la stessa proprietà.

Un MSP può automatizzare subito la remediation?

Non va presunto. Occorre validare le operazioni supportate in un tenant che abbia ricevuto il rollout.