Confronto · Autenticazione a più fattori di Microsoft Entra
Notakey e Microsoft Entra MFA per accessi VPN, RADIUS e on-premise
Per le organizzazioni su Microsoft 365 che si chiedono se Entra ID e Microsoft Authenticator coprano già la VPN, il firewall, i server Linux e il Desktop remoto, o se valga la pena aggiungere un server di autenticazione on-premise separato.
In breve
Se tutte le identità sono già in Entra ID e ciò che proteggete sono gli accessi al cloud Microsoft, Entra MFA con Microsoft Authenticator è la scelta ovvia: è inclusa nel tenant, supporta passkey e number matching, e le policy di Conditional Access sono difficili da eguagliare.
Il quadro cambia per le VPN e i sistemi on-premise. I dispositivi RADIUS raggiungono Entra MFA solo tramite l’estensione NPS, che richiede un server NPS Windows, utenti sincronizzati in Entra, una licenza P1, P2 o Enterprise Mobility + Security e un collegamento internet verso Microsoft, e che non supporta il number matching. Notakey è un’appliance che risponde da sé alle richieste RADIUS, usa direttamente Active Directory on-premise, decide l’approvazione sul vostro server (solo il recapito delle notifiche push passa dai servizi di Apple e Google) e aggiunge la firma delle transazioni.
Dati sui fornitori verificati il 13 ottobre 2026. I prezzi sono quelli di listino pubblicati dai fornitori a quella data e possono cambiare senza preavviso.
Aspetto
Notakey
Autenticazione a più fattori di Microsoft Entra
- Dove si decide l’approvazione
- NotakeySulla vostra appliance, on-premise o ospitata da Notakey. La notifica push viene recapitata tramite i servizi di Apple e Google e per riceverla il telefono deve essere connesso a internet; l’approvazione in sé viene verificata dal vostro server.
- Autenticazione a più fattori di Microsoft EntraNel cloud Microsoft. L’estensione NPS sul vostro server NPS contatta Entra su TCP 443, quindi il server NPS deve poter raggiungere Microsoft via internet.
- Licenze (di listino, per utente al mese)
- NotakeyCloud: primi 6 utenti gratis, poi 2,50 €. On-premise: primi 10 utenti gratis, poi 0,80 €.
- Autenticazione a più fattori di Microsoft EntraEntra ID Free (incluso in Microsoft 365 e Azure) supporta l’MFA per gli accessi al cloud. L’estensione NPS per RADIUS richiede Entra ID P1 ($7) o P2 ($10), con fatturazione annuale, oppure Enterprise Mobility + Security; le licenze a consumo per utente o per autenticazione non sono compatibili con l’estensione.
- VPN e firewall via RADIUS
- NotakeyL’auth-proxy incluso nell’appliance si inserisce davanti a qualsiasi server RADIUS, compreso Microsoft NPS senza estensioni, oppure davanti al plugin RADIUS dell’appliance.
- Autenticazione a più fattori di Microsoft EntraL’estensione NPS su un server NPS Windows aggiunto al dominio; gli utenti devono essere sincronizzati in Entra con Entra Connect; il server NPS non può fare da proxy verso un altro server RADIUS. Microsoft raccomanda un timeout della VPN di almeno 60 secondi.
- Contro il push-bombing via RADIUS
- NotakeyLa scheda di approvazione mostra il servizio, il nome utente e, se fornito, l’IP di provenienza della richiesta; l’utente rifiuta un accesso che non ha avviato.
- Autenticazione a più fattori di Microsoft EntraIl number matching non è supportato tramite NPS. Con il number matching imposto a tutto il tenant, agli utenti RADIUS viene chiesto invece un codice TOTP di Authenticator; chi non ha registrato un metodo TOTP vede un semplice Approva/Rifiuta.
- Sorgente degli utenti
- NotakeyActive Directory on-premise o LDAP direttamente, una sorgente RADIUS, oppure utenti creati nella dashboard Notakey. Nessuna sincronizzazione verso un tenant cloud.
- Autenticazione a più fattori di Microsoft EntraEntra ID. Gli utenti di AD on-premise devono essere sincronizzati in Entra; per impostazione predefinita l’estensione li identifica tramite UPN.
- Accesso a Windows
- NotakeyWindows Credential Provider per gli accessi locali e via Desktop remoto con AD on-premise, se volete esclusivamente senza password.
- Autenticazione a più fattori di Microsoft EntraWindows Hello for Business per i dispositivi aggiunti a Entra o con join ibrido; Remote Desktop Gateway può usare l’estensione NPS.
- Firma delle transazioni
- NotakeySì: sul telefono si firma una descrizione leggibile del pagamento, dell’ordine o della modifica, con il collegamento dinamico richiesto dalla PSD2.
- Autenticazione a più fattori di Microsoft EntraNon è una funzione prevista; Authenticator approva gli accessi.
- Fattori resistenti al phishing e policy
- NotakeyNessuna passkey né chiave FIDO2; nessun equivalente di Conditional Access e nessuna verifica di conformità dei dispositivi.
- Autenticazione a più fattori di Microsoft EntraPasskey in Microsoft Authenticator, chiavi di sicurezza FIDO2 e autenticazione basata su certificati; Conditional Access con P1 e policy basate sul rischio con P2.
- SSH su Linux, MikroTik, applicazioni web legacy
- NotakeyIntegrazioni documentate: pam_radius per SSH e sudo, script RouterOS e RADIUS per MikroTik, un reverse proxy SAML per le applicazioni web legacy.
- Autenticazione a più fattori di Microsoft EntraTutto ciò che parla RADIUS può passare dall’estensione NPS, con i limiti indicati sopra.
Scegliete Entra MFA se
- Utenti e dispositivi sono già in Entra ID e ciò che proteggete sono Microsoft 365, Azure e applicazioni SaaS federate con Entra.
- Vi servono Conditional Access, la conformità dei dispositivi o policy di accesso basate sul rischio.
- Passkey o chiavi FIDO2 sono un requisito per gli amministratori.
- Avete già licenze P1 o P2 e usate NPS, quindi il percorso RADIUS vi costa solo l’estensione.
Scegliete Notakey se
- Le identità restano in Active Directory on-premise, oppure volete che l’approvazione venga decisa sul vostro server anziché in un tenant cloud.
- I sistemi da proteggere sono VPN RADIUS e firewall, MikroTik, server Linux, Desktop remoto e applicazioni web legacy.
- Volete che l’utente veda che cosa sta approvando a ogni accesso VPN, senza passare per i codici TOTP.
- Vi serve la firma delle transazioni, oppure un fornitore europeo e dati on-premise per ragioni di audit.
Che cosa Notakey non fa
- Non sostituisce Entra ID come provider di identità per Microsoft 365.
- Nessuna policy di Conditional Access o di conformità dei dispositivi.
- Nessuna passkey né chiave FIDO2.
- Nessun secondo fattore tramite telefonata o SMS.
Domande frequenti
- Notakey può usare il nostro server Microsoft NPS esistente?
- Sì, senza alcuna estensione. L’auth-proxy Notakey si inserisce davanti a NPS, lascia che verifichi la password su Active Directory, poi chiede conferma al telefono dell’utente. NPS mantiene le sue policy.
- Entra MFA funziona per una VPN senza licenza P1?
- Non tramite l’estensione NPS: Microsoft dichiara che richiede Entra ID P1, P2 o Enterprise Mobility + Security. Entra ID Free copre l’MFA per gli accessi al cloud, non i dispositivi RADIUS.
- Perché l’estensione NPS chiede un codice invece del number matching?
- NPS non supporta il number matching. Quando il number matching è imposto a tutti gli utenti, l’estensione chiede invece un codice TOTP di Microsoft Authenticator; gli utenti senza un metodo TOTP registrato ricevono comunque un semplice Approva/Rifiuta. Neanche Notakey usa il number matching: la sua scheda di approvazione mostra il contesto dell’accesso.
Fonti
- Microsoft: estensione NPS per l’autenticazione a più fattori di Microsoft Entra (in inglese)
- Prezzi di Microsoft Entra (in inglese)
- Microsoft: metodi di autenticazione in Microsoft Entra ID (in inglese)
- Microsoft: Remote Desktop Gateway con l’estensione NPS (in inglese)
- Microsoft: Windows Hello for Business (in inglese)
- Prezzi di Notakey
I nomi dei prodotti sono marchi dei rispettivi titolari e sono usati solo per identificare i prodotti messi a confronto.