Guia de Unidades Administrativas do Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Saiba como usar unidades administrativas do Microsoft Entra com orientações práticas sobre segurança, governança, controle de acesso, implementação e uso no mundo real.

Automatically translated with AI from the original post. Read the English original

Se você gerencia uma organização grande usando Microsoft 365 ou Azure, as coisas podem ficar complicadas rapidamente. As unidades administrativas (AUs, na sigla em inglês) no Microsoft Entra ID funcionam como os líderes de vigilância de bairro das ruas digitais do seu locatário. Elas ajudam você a dividir sua base de usuários, para que possa dar aos administradores locais apenas o controle necessário para gerenciar a sua área, e não a cidade inteira.

Este é um grande avanço para organizações que precisam equilibrar segurança, conformidade e eficiência. Em vez de direitos administrativos padronizados para todos, as AUs garantem que as pessoas certas gerenciem as pessoas certas, nem mais, nem menos. Ao longo da leitura, você verá como as AUs se diferenciam dos grupos e das OUs clássicas, e como elas facilitam o trabalho sem abrir mão da governança. Seja para definir melhor o escopo de funções, segmentar o locatário ou simplesmente reduzir o caos, entender as unidades administrativas no Entra ID vale o seu tempo.

O que é uma unidade administrativa no Microsoft Entra ID?

As unidades administrativas (AUs) no Microsoft Entra ID são contêineres especiais, criados para organizar a casa em grande escala. Pense nelas como limites digitais: você pode atribuir administradores a esses limites para que gerenciem apenas os usuários ou grupos dentro daquela cerca específica.

Depois de configurar uma AU, você pode delegar direitos administrativos, como Administrador de Usuários ou Administrador de Helpdesk, apenas para as pessoas ou grupos dentro dessa unidade. Isso mantém as equipes locais de TI focadas em seus próprios funcionários, sem precisar mexer em todo o restante. Trata-se de descentralizar o controle sem abrir todas as portas de uma vez.

Isso é especialmente útil em organizações grandes ou complexas, como escolas, multinacionais e órgãos governamentais, onde você não quer que um administrador em Nova Jersey redefina senhas de pessoas em Tóquio. Você dá a ele um limite claro de atuação, por assim dizer, e cada um fica na sua faixa.

Diferentemente das OUs tradicionais do Active Directory local, as AUs existem apenas na nuvem da Microsoft e servem para definir o escopo das permissões administrativas. Elas também não são iguais aos grupos de segurança ou aos grupos do Microsoft 365, que são usados principalmente para acesso a aplicativos e recursos, e não para direitos administrativos. A grande conclusão? As AUs ajudam você a gerenciar "quem pode gerenciar o quê" dentro do seu locatário na nuvem, oferecendo uma administração mais precisa e mais segura.

Como as unidades administrativas do Azure se diferenciam de grupos e OUs

• Unidades administrativas (AUs): criadas para administração delegada. Definem o escopo das funções administrativas para usuários e grupos específicos dentro de uma AU, mas não concedem acesso a recursos como arquivos ou caixas de correio.
• Grupos: usados para atribuir acesso a aplicativos e recursos (por exemplo, Teams, SharePoint, licenciamento). Os grupos não limitam nem definem os limites administrativos; servem apenas para associação, seja para permissões ou distribuição.
• Unidades organizacionais (OUs): um conceito do Active Directory local que organiza objetos (usuários, computadores) hierarquicamente para aplicação de Diretiva de Grupo. Não são projetadas para delegação na nuvem ou no Microsoft 365, e não têm equivalente direto no Entra ID.

Em resumo: use AUs para definir o escopo administrativo, grupos para acesso e OUs para organização local. Escolha a ferramenta certa para cada tarefa.

Implementando unidades administrativas: cenários-chave para o Microsoft 365

Quando o seu ambiente do Microsoft 365 se estende por vários países, departamentos ou zonas de conformidade, uma única equipe administrativa central simplesmente não dá conta. É aqui que entram as unidades administrativas, moldando a forma como você gerencia configurações complexas sem perder o controle, ou a cabeça.

As unidades administrativas permitem distribuir exatamente o nível de privilégio necessário, para que equipes locais ou responsáveis por departamentos possam cuidar de redefinições de senha ou de associações a grupos exatamente onde são necessárias. Ao segmentar o locatário dessa forma, você aumenta a produtividade e reduz riscos, já que ninguém tem acesso administrativo mais amplo do que precisa.

Desafios do mundo real surgem o tempo todo: talvez você tenha uma universidade com diferentes faculdades, um varejista com lojas em vários estados ou uma empresa global com equipes regionais de TI. As unidades administrativas se tornam a sua forma preferida de definir quem é responsável por cada parte da organização e de garantir que as políticas internas sejam realmente cumpridas.

A seguir, vamos desvendar alguns dos cenários mais comuns e os pontos de decisão para implantar essas unidades. Você verá não apenas por que elas são importantes, mas também como ajudam a lidar com problemas recorrentes como conformidade, acesso de privilégio mínimo e autonomia regional.

Quando usar unidades administrativas em cenários administrativos complexos

• Organizações geograficamente distribuídas: Atribua equipes regionais de TI para gerenciar apenas os usuários da sua localidade (por exemplo, Europa, Ásia), sem acesso ao locatário global.
• Segmentação departamental: Delegue direitos administrativos para RH, Finanças ou faculdades acadêmicas, mantendo as permissões de gerenciamento de cada equipe restritas ao próprio departamento.
• Limites de conformidade ou privacidade: Separe usuários regidos por regulamentações diferentes (como LGPD ou GDPR) em UAs dedicadas, aplicando limites de segurança.
• Fusões e aquisições: Incorpore novas unidades de negócio ou empresas adquiridas e deixe que elas se gerenciem sozinhas, sem abrir acesso a todo o seu ambiente.
• Educação e distritos escolares: Dê aos administradores de cada escola controle apenas sobre os alunos e a equipe do seu campus, mantendo os dados de outras escolas fora de alcance.

Como usar unidades administrativas do Azure para segmentar o locatário do Microsoft 365

• Administração descentralizada: As UAs permitem atribuir administradores locais apenas às pessoas ou grupos que eles conhecem, sem precisar de um administrador global para tarefas do dia a dia. Isso ajuda a evitar o clássico "muitos cozinheiros na mesma cozinha".
• Limites de segurança claros: Ao segmentar seu locatário com UAs, você pode estabelecer limites alinhados a departamentos, regiões ou entidades legais, cada um com direitos administrativos sob medida.
• Conformidade facilitada: Como as equipes de TI veem apenas os usuários do seu escopo, fica muito mais simples passar em auditorias, aplicar o princípio do menor privilégio e limitar os riscos de exposição de dados.
• Solução de problemas simplificada: Administradores locais podem redefinir senhas, gerenciar licenças ou ajustar associações sem esbarrar nos dados de outras equipes, tornando o dia a dia de gerenciamento mais fluido.
• Apoio às estratégias de governança: Para estratégias avançadas em torno de RBAC, PIM e aplicação de políticas, confira esta abordagem sobre governança do Azure e boas práticas de RBAC com dicas práticas.

Como configurar unidades administrativas no Microsoft Entra ID

Implantar unidades administrativas no Microsoft Entra ID começa com uma ideia clara: quem você quer gerenciar e em quem você confia para fazer esse gerenciamento? Definido isso, configurar uma UA envolve primeiro criar a unidade, depois preenchê-la com os usuários ou grupos certos e, por fim, atribuir funções administrativas com o nível de controle adequado.

Você pode criar UAs diretamente no Portal do Azure, que oferece um fluxo intuitivo, passo a passo. Para organizações maiores ou mais dinâmicas, você pode aproveitar suas habilidades de automação com a API do Microsoft Graph, deixando os scripts fazerem o trabalho pesado.

A partir daí, trata-se de colocar as pessoas nas UAs certas, uma a uma quando necessário ou em massa se você estiver trabalhando em grande escala. A associação a grupos pode ser gerenciada diretamente ou de forma dinâmica, mas dispositivos e recursos (como sites do SharePoint) têm algumas limitações que devem ser consideradas, e vamos destacá-las em breve.

Por fim, você vai querer atribuir funções administrativas usando o modelo clássico do Azure AD ou o Privileged Identity Management (PIM), para acesso just-in-time e auditabilidade. As próximas seções detalham cada etapa para que você saia pronto para criar, proteger e delegar com confiança.

Como criar e configurar unidades administrativas no Microsoft 365

• Acesse o Portal do Azure: Navegue até o Microsoft Entra ID, escolha Unidades administrativas e clique em "+ Nova unidade administrativa" para iniciar o processo de configuração.
• Nomeie, descreva e defina o escopo: Dê à sua UA um nome claro e descritivo (como "Administradores de Vendas APAC"). Opcionalmente, adicione uma descrição para os futuros administradores.
• Adicione membros: Você pode atribuir usuários ou grupos diretamente como membros. Decida quem é gerenciado nesta UA, pois os administradores só afetam essas pessoas.
• Opção de automação: Prefere código? Use a API do Microsoft Graph para criar, atualizar e gerenciar UAs em fluxos de trabalho em massa ou automatizados. Scripts facilitam grandes alterações e reduzem erros.
• Verifique conflitos de associação: Evite associações sobrepostas entre UAs se você quer um escopo bem restrito. Um usuário só pode ser gerenciado em uma UA para um contexto de função específico.

Como atribuir usuários e grupos a unidades administrativas

• Atribuição direta: Adicione usuários ou grupos manualmente pelo Portal do Azure (Usuários > Adicionar membro) para que se tornem objetos gerenciados na sua UA.
• Grupos dinâmicos (com limitações): Você pode adicionar grupos dinâmicos como membros de UAs, mas as próprias UAs atualmente não conseguem aplicar regras dinâmicas nativamente, pois as regras de grupos dinâmicos ficam no grupo, e não na UA.
• Importações em massa: Em organizações grandes, use PowerShell ou a Graph API para atribuir vários usuários e grupos de forma eficiente. Isso economiza tempo e garante consistência.
• Revise a associação regularmente: Configure verificações periódicas para remover contas órfãs e garantir que os usuários continuem com o escopo adequado. A vida muda, então mantenha seus limites sempre atualizados.
• Inclusão de dispositivos: Neste momento, dispositivos (como notebooks e celulares) não podem ser membros de UAs. O gerenciamento se limita estritamente a pessoas e grupos, não a hardware ou recursos.

Atribuindo funções a administradores com o Privileged Identity Management

• Atribuição de funções por UA: Dentro da UA, atribua funções como Administrador de Usuário, Administrador de Grupos ou Administrador de Helpdesk, para que os administradores delegados tenham poderes apenas dentro dessa UA.
• Use o PIM para acesso JIT: Use o Privileged Identity Management (PIM) do Azure AD para conceder acesso administrativo just-in-time (JIT). Isso significa que as funções podem ser ativadas temporariamente, reduzindo o risco de acesso "sempre ativo".
• Configure fluxos de aprovação: Configure aprovações no PIM para que o acesso administrativo exija uma aprovação extra. Uma verdadeira salvação para ambientes de conformidade ou de alta segurança.
• Monitore e audite o acesso: Acompanhe quem ativa o quê e quando. Conecte os logs de auditoria ao Microsoft Sentinel ou use a Auditoria do Purview para rastreamento forense da atividade de usuários em todo o M365. Isso enriquece a governança e fortalece sua estratégia de segurança.
• Revise as atribuições privilegiadas: Reavalie regularmente as funções concedidas. Remova privilégios desatualizados ou desnecessários para evitar o acúmulo gradual de privilégios (privilege creep) e reforçar os princípios de menor privilégio.

Requisitos administrativos, licenciamento e limitações

Antes de começar a dividir seu locatário em partes com UAs, há alguns pré-requisitos e restrições a considerar. Nem todas as assinaturas do Microsoft 365 são iguais: usar UAs normalmente exige licenças do Azure AD Premium P1 tanto para os usuários-alvo quanto para os administradores atribuídos.

A funcionalidade é robusta quando se trata de usuários e grupos, mas começa a apresentar falhas com dispositivos, sites do SharePoint ou outros recursos. As UAs atualmente não são projetadas para gerenciar hardware nem para atribuir acesso granular a recursos. As atribuições de licenças e alguns recursos de gerenciamento de propriedades também têm limitações, que podem exigir soluções alternativas criativas em ambientes grandes ou que mudam rapidamente.

A hierarquia é outro ponto sensível. Diferentemente das UOs no Active Directory clássico, as UAs são planas: não há aninhamento nem relação pai/filho. Por isso, você precisará desenhar sua segmentação sem essa camada de complexidade (ou de flexibilidade, dependendo do ponto de vista).

Ao longo dos detalhes a seguir, você verá os limites funcionais das UAs, o que ajuda a definir expectativas realistas para sua equipe de TI e para as partes interessadas do negócio.

Principais limitações administrativas: hierarquia, dispositivos e SharePoint

• Sem estrutura hierárquica: As UAs são planas: não existe o conceito de aninhamento ou de organização pai/filho. Você não pode, por exemplo, criar uma UA "América do Norte" com UAs filhas para cada estado ou província. Cada UA é independente.
• Lacunas no gerenciamento de dispositivos: Dispositivos como notebooks, celulares ou impressoras não podem ser gerenciados diretamente com UAs. Se você precisar de escopo no nível de dispositivo, outras soluções ou políticas do Intune podem ser necessárias.
• Limitações do SharePoint/OneDrive: As UAs não delimitam direitos administrativos sobre sites do SharePoint nem sobre o OneDrive. O gerenciamento de governança de dados nesses aplicativos exige estratégias separadas ou alternativas, como o Microsoft Dataverse para necessidades complexas de dados.
• Desafios na atribuição de licenças: Você pode atribuir licenças a usuários dentro das UAs, mas não há automação com escopo de UA integrada, o que dificulta a automação em escala.
• Gerenciamento de propriedades: A atualização em massa ou a geração de relatórios sobre propriedades de usuários dentro das UAs é limitada. Você frequentemente precisará de ferramentas externas, PowerShell ou da Graph API para preencher essas lacunas.

Segurança, governança e alternativas às unidades administrativas

A segurança e a governança não terminam na configuração das AUs; isso é apenas o começo. Para proteger seu locatário (e sua reputação), você precisa pensar em como as AUs são administradas, quem recebe direitos de delegação e como o acesso privilegiado é monitorado, revisado e revogado ao longo do tempo.

As boas práticas incluem aplicar o princípio do menor privilégio, usar fluxos de aprovação com o PIM e auditar cada atribuição de função. Não deixe de lado o monitoramento contínuo: revisões de acesso privilegiado, alertas sobre atividades anômalas e relatórios periódicos vão fortalecer o controle sobre quem realmente administra o seu ambiente.

Para algumas organizações, nem mesmo o desenho mais refinado de AUs vai ser suficiente. Talvez você precise de segmentação em múltiplos níveis, controles de conformidade mais profundos ou automação mais avançada. É nesse ponto que soluções alternativas, como os locatários virtuais do CoreView, entram em cena, permitindo dividir seu locatário de formas que as AUs ainda não conseguem fazer.

Para um aprofundamento em governança rigorosa, incluindo aplicação de políticas, RBAC e barreiras automatizadas, confira esta análise sobre estratégias de governança no Azure. E se você está lidando com IA ou automação, proteger o Copilot e as permissões do Graph é leitura obrigatória para manter a conformidade na era dos copilots e dos bots.

Implicações de Segurança Remanescentes e Alternativas de Locatários Virtuais

• Acúmulo de privilégios (Privilege Creep): Se os direitos de administrador não forem revisados, ex-administradores ou profissionais que trocam de emprego podem acumular privilégios "zumbis", um dos principais riscos internos. Revisões regulares e a remoção desses privilégios são essenciais.
• Lacunas de auditoria e visibilidade: Os logs de auditoria nativos podem não mostrar com facilidade quem alterou o quê e em qual AU. Para uma supervisão em nível corporativo, integre os logs do Entra a ferramentas SIEM ou use o Microsoft Purview/Sentinel para um monitoramento robusto e relatórios de conformidade. Episódios como Agentageddon explicam os riscos de ficar para trás na auditoria de IA e da governança no Microsoft 365.
• Limitações de escopo: As AUs não conseguem segmentar nativamente ambientes multinuvem ou híbridos. Para configurações híbridas ou multinuvem, recorra a ferramentas de terceiros ou a soluções de locatário virtual para limites mais profundos e governança centralizada.
• Quando considerar alternativas: Considere soluções como os locatários virtuais do CoreView quando precisar de segmentação em múltiplos níveis, mapeamento de conformidade ou automação avançada de fluxos de trabalho além do que as AUs oferecem. Shadow IT e IA exigem monitoramento avançado; veja esta análise sobre os essenciais do Microsoft Foundry e do Purview para mais ideias.

Você também deve ouvir

Se você está pesquisando sobre unidades administrativas do Microsoft Entra, estes episódios trazem contexto prático sobre segurança de identidade, governança, acesso privilegiado e implementação:

• Microsoft Defender XDR – Simply Explained — Conecte a governança de identidades a sinais de segurança, investigação e resposta.
• Conditional Access – Simply Explained — Saiba como os controles de acesso baseados em políticas aplicam decisões de identidade.
• Privileged Identity Management – Simply Explained — Entenda privilégios sob demanda, aprovações e revisões de acesso.
• Microsoft Teams Governance – The Illusion of Control — Veja como a governança transforma permissões e propriedade em operações repetíveis.