Segurança e permissões do Azure Lighthouse: como gerenciar o acesso à nuvem em múltiplos locatários com segurança

By Mirko Peters · 2026-10-21

Saiba como funciona a segurança do Azure Lighthouse, como aplicar o princípio do menor privilégio entre locatários e como os clientes mantêm controle total sobre a sua nuvem.

Automatically translated with AI from the original post. Read the English original

A segurança do Azure Lighthouse se baseia em princípios de menor privilégio, projeções lógicas de recursos e limites rigorosos controlados pelo cliente, permitindo que provedores de serviços gerenciados administrem ambientes de nuvem em múltiplos locatários sem nunca possuir senhas de administrador, usando funções internas do Azure e trilhas de auditoria permanentes.

Principais conclusões

• Os clientes mantêm autoridade total sobre os seus locatários do Azure ao definir escopos precisos e funções internas.
• As definições e atribuições de registro funcionam como um aperto de mão permanente, verificado pelo Azure em cada ação.
• Funções de Proprietário completas e acesso ao plano de dados não têm suporte nas delegações do Azure Lighthouse.
• Os provedores operam por meio de projeções lógicas no próprio portal, sem compartilhar senhas ou credenciais de usuários.
• Os logs de atividade registram cada alteração no locatário do cliente, oferecendo uma trilha de auditoria transparente.

A arquitetura de segurança do Azure Lighthouse

Gerenciar vários ambientes de nuvem exigia, tradicionalmente, a criação de contas de administrador dedicadas em cada locatário de cliente. Esse método antigo gerava riscos de segurança significativos, planilhas cheias de senhas temporárias e credenciais esquecidas em sistemas externos. O Azure Lighthouse muda essa lógica ao criar uma passagem segura, protegida por vínculo criptográfico, entre ambientes de nuvem separados.

Em vez de unir locatários ou compartilhar credenciais, o Lighthouse usa uma projeção lógica. Os recursos do cliente permanecem integralmente no ambiente de nuvem dele, ou seja, no seu locatário, na sua assinatura e nos seus grupos de recursos. O provedor de serviços gerenciados visualiza esses recursos por meio dessa passagem segura, a partir do seu próprio locatário de gerenciamento. Toda solicitação enviada pelo provedor passa pela camada central de validação do Azure, que verifica continuamente a documentação de autorização antes de permitir a execução de qualquer comando.

O aperto de mão em duas partes

A segurança no Azure Lighthouse não se baseia em confiança cega. Ela está ancorada em dois arquivos de configuração imutáveis, em formato JSON, implantados diretamente pelo administrador de nível superior do cliente.

A primeira parte é a definição de registro. Esse documento fica dentro da conta do cliente e detalha explicitamente qual organização externa é confiável e quais funções internas específicas ela recebe. A segunda parte é a atribuição de registro, que funciona como o endereço, apontando essa definição para uma assinatura ou grupo de recursos específico.

Como esses componentes residem no locatário do cliente, o cliente mantém controle absoluto. Se um contrato terminar, o cliente pode excluir a atribuição de registro, bloqueando a passagem imediatamente, sem depender da cooperação do provedor de serviços.

Como implementar o menor privilégio em ambientes de múltiplos locatários

Um princípio central da segurança moderna na nuvem é o princípio do privilégio mínimo: conceder a usuários e sistemas apenas o mínimo de permissões necessárias para executar suas tarefas. O Azure Lighthouse torna esse princípio simples de aplicar, ao vincular as permissões a grupos de segurança, entidades de serviço e contas de automação, em vez de usuários humanos individuais.

Por exemplo, um provedor de serviços gerenciados pode estruturar o acesso de sua equipe em níveis distintos:

• Equipe de suporte: recebe a função Leitor para inspecionar a integridade das máquinas virtuais e os logs de diagnóstico, sem fazer alterações.
• Engenheiros de migração: recebem a função Colaborador em grupos de recursos específicos para implantar cargas de trabalho e aplicar atualizações.
• Scripts de automação: recebem contas de serviço personalizadas com escopo limitado para executar backups noturnos e coletar telemetria.

Essa abordagem granular garante que erros humanos ou credenciais comprometidas no nível do provedor não possam se propagar e causar danos catastróficos em todos os ambientes de clientes gerenciados.

Limitações das funções integradas como barreiras de segurança

Para proteger as organizações contra permissões excessivas, o Azure Lighthouse impõe barreiras rígidas sobre o que pode e o que não pode ser delegado. Principalmente, a função Proprietário de nível superior não tem suporte em uma delegação do Lighthouse. Um provedor de serviços nunca pode receber a capacidade de atribuir permissões a outras pessoas nem assumir a propriedade total da assinatura do cliente.

Além disso, funções que concedem acesso aos planos de dados, como ler arquivos dentro de contêineres do Armazenamento de Blobs do Azure ou visualizar registros de banco de dados, não podem ser delegadas pelo Lighthouse. O Lighthouse gerencia os planos de controle da infraestrutura, garantindo que a supervisão administrativa nunca ultrapasse a fronteira das violações de privacidade de dados.

Trilhas de auditoria e rastreamento de conformidade

Responsáveis por conformidade costumam entrar em pânico só de pensar em fornecedores externos acessando a infraestrutura central de nuvem corporativa. O Azure Lighthouse reduz essa preocupação ao manter, do lado do cliente, um registro meticuloso e à prova de adulteração.

Toda e qualquer ação realizada por um usuário do provedor, seja reiniciar uma máquina virtual, modificar uma regra de firewall ou atualizar configurações de rede, é registrada diretamente no Log de Atividades do Azure do cliente. Como esses logs ficam no locatário do cliente, não podem ser alterados nem excluídos pelo provedor externo. Administradores de TI podem executar auditorias regulares para responder a perguntas críticas de segurança: quem acessou este recurso? Quando ele foi modificado? Qual foi exatamente o comando executado?

Além disso, as empresas podem combinar o Azure Lighthouse com o Privileged Identity Management (PIM) para exigir elevação just-in-time. Em vez de manter direitos permanentes de colaborador, os engenheiros do provedor podem solicitar acesso somente quando ocorre um incidente, com as aprovações registradas e os limites de tempo aplicados automaticamente.

Conclusão

O Azure Lighthouse resolve a tensão constante entre segurança robusta na nuvem e gerenciamento eficiente de múltiplos locatários. Ao substituir o compartilhamento de senhas por um gerenciamento de recursos delegado, verificado criptograficamente e controlado pelo cliente, os líderes de TI podem escalar suas operações sem comprometer a postura de segurança. Para explorar os conceitos fundamentais por trás dessa arquitetura, não deixe de ouvir o episódio completo do M365 FM Podcast, com uma explicação sem jargões do gerenciamento moderno de nuvem.

Perguntas frequentes

O provedor do Azure Lighthouse pode ver as senhas da minha organização?

Não. O Azure Lighthouse nunca expõe, transfere nem compartilha senhas ou credenciais de usuários entre locatários. Os provedores se autenticam com os próprios sistemas de identidade corporativa enquanto operam sobre seus recursos por meio de projeções lógicas.

O que acontece com o acesso do Azure Lighthouse se um provedor sofrer uma violação de segurança?

Como o acesso é estritamente limitado às funções integradas e aos recursos específicos definidos na atribuição de registro, e exclui a função Proprietário, o raio de impacto fica bem contido. Além disso, o cliente pode revogar o acesso imediatamente excluindo a atribuição de registro em seu próprio portal.

O Azure Lighthouse oferece suporte a funções RBAC personalizadas?

Não. O Azure Lighthouse oferece suporte apenas às funções integradas do Azure fornecidas pela Microsoft. Funções personalizadas criadas no locatário do provedor ou do cliente não podem ser usadas nas definições de registro.

Quem tem autoridade para configurar o Azure Lighthouse em um locatário de cliente?

Somente um usuário com acesso de alto privilégio — especificamente uma conta com permissões capazes de atribuir funções no nível da assinatura ou do grupo de recursos, como User Access Administrator ou Owner — pode implantar o modelo de registro e estabelecer a conexão.