Funções do Azure vs. funções do Entra ID: o que os administradores de nuvem fazem de errado

By Mirko Peters · 2026-10-29

Pare de confundir o Azure RBAC com as funções do Microsoft Entra. Descubra as diferenças essenciais em escopo, permissões e administração para proteger a sua nuvem.

Automatically translated with AI from the original post. Read the English original

As funções do Azure e as funções do Microsoft Entra representam dois limites de autorização distintos, que frequentemente confundem os administradores de nuvem. Entender como esses sistemas de permissão separados funcionam garante que você atribua os privilégios certos às identidades certas, sem conceder, por acidente, controle excessivo sobre a sua infraestrutura ou os seus serviços de diretório.

Principais conclusões

• As funções do Azure controlam o acesso a objetos de recursos de nuvem, como máquinas virtuais, contas de armazenamento e redes virtuais.
• As funções do Microsoft Entra ID governam permissões em nível de diretório, como provisionamento de usuários, criação de grupos e atribuição de licenças.
• Administradores Globais não recebem automaticamente controle total sobre as assinaturas do Azure sem configuração explícita.
• Entender os escopos distintos evita escaladas catastróficas de privilégio e falhas de segurança durante auditorias de conformidade.

A divisão fundamental: recursos versus diretório

Ao começar a gerenciar permissões no ecossistema da nuvem Microsoft, a palavra "função" aparece em vários centros de administração. Essa sobreposição de terminologia é a fonte mais comum de confusão para engenheiros, arquitetos e equipes de suporte. A forma mais fácil de manter a clareza é separar o que você está tentando alterar.

As funções do Azure controlam o acesso aos recursos do Azure. Se a sua tarefa envolve criar uma máquina virtual, configurar uma rede virtual, ajustar uma regra de firewall ou ler arquivos dentro de um contêiner de armazenamento, você está operando no âmbito do Controle de Acesso Baseado em Função (RBAC) do Azure. Essas permissões se aplicam diretamente à infraestrutura e aos planos de dados que rodam dentro das suas assinaturas de nuvem.

Por outro lado, as funções do Microsoft Entra controlam o acesso aos recursos de diretório. Se a sua tarefa envolve criar novas contas de usuário, modificar associações de grupos, atribuir licenças do Microsoft 365 ou redefinir senhas, você está trabalhando dentro do Microsoft Entra ID. Essas ações afetam a camada de identidade da sua organização, e não as camadas de computação ou armazenamento.

Confundir esses dois sistemas leva a atalhos administrativos perigosos. Um engenheiro que presume que direitos de diretório concedem acesso à infraestrutura, ou vice-versa, muitas vezes solicitará permissões desnecessariamente amplas apenas para concluir o trabalho do dia a dia. Mapear as suas tarefas para o plano de autorização correto é a base de uma arquitetura de nuvem segura.

Comparando escopos e limites

Os limites de alcance das suas permissões variam muito dependendo de você estar trabalhando com uma função do Azure ou com uma função do Entra ID. O escopo define o raio de impacto de qualquer erro humano ou automatizado, por isso é essencial dominar a hierarquia dos dois sistemas.

Escopos das funções do Azure

O RBAC do Azure opera com um modelo de escopo estritamente hierárquico. Ao atribuir uma função no Azure, você a aplica em um de quatro níveis específicos:

• Grupo de gerenciamento: o contêiner mais amplo, que aplica permissões em várias assinaturas.
• Assinatura: o limite para faturamento, governança e um conjunto de serviços relacionados.
• Grupo de recursos: uma pasta lógica que reúne recursos específicos de um projeto ou ambiente.
• Recurso: o nível mais restrito, voltado para uma única máquina virtual, conta de armazenamento ou banco de dados.

As permissões atribuídas em um nível pai são herdadas pelos níveis inferiores. Se você atribuir a função de leitor no escopo do grupo de gerenciamento, essa identidade poderá ver todos os recursos de todas as assinaturas aninhadas abaixo dele.

Escopos de funções do Entra ID

As funções do Microsoft Entra não seguem a hierarquia de recursos do Azure. Em vez disso, são atribuídas no nível do locatário, em unidades administrativas ou direcionadas a objetos individuais, como um aplicativo empresarial registrado. Não é possível atribuir uma função do Entra ID a um grupo de recursos ou a uma máquina virtual, porque esses objetos não existem no grafo do diretório da mesma forma.

O mito e a realidade do Administrador Global

Um dos equívocos mais persistentes na administração de nuvem é achar que ter a função de Administrador Global no Microsoft Entra dá controle irrestrito sobre todas as assinaturas e todos os recursos do seu ambiente Azure. Não dá.

Como os recursos do Azure e os objetos de diretório do Entra são regidos por sistemas de autorização separados, um Administrador Global recém-criado não consegue visualizar nem gerenciar automaticamente as máquinas virtuais de uma assinatura até que uma ação explícita seja realizada. No entanto, um Administrador Global tem o poder exclusivo de elevar os próprios privilégios. Ao ativar uma opção específica de gerenciamento de acesso no portal do Azure, ele pode conceder a si mesmo a função de Administrador de Acesso de Usuário em todas as assinaturas do locatário.

Embora esse mecanismo impeça administradores de destruir, por acidente, uma infraestrutura que nem sabiam que existia, ele cria um ponto cego de auditoria se a organização não monitorar quem acionou essa opção de elevação. Tratar a administração do diretório e a administração de recursos do Azure como duas disciplinas completamente diferentes é fundamental para manter uma postura de segurança sólida.

Conclusão

Entender as nuances das permissões na nuvem exige reconhecer que as funções do Azure e as funções do Microsoft Entra atendem a propósitos totalmente diferentes. Ao manter as alterações de infraestrutura ancoradas no Azure RBAC e o gerenciamento de identidades vinculado ao Entra ID, você elimina ambiguidades, reduz o raio de impacto e passa em auditorias de conformidade com mais confiança.

Para se aprofundar em como o controle de acesso funciona nos serviços da nuvem da Microsoft, não deixe de conferir a discussão relacionada no podcast. Ouça o episódio completo para insights claros e sem jargões que vão ajudar você a dominar a arquitetura e as práticas de segurança em nuvem.

Perguntas frequentes

Um Administrador Global tem acesso automático ao armazenamento e às VMs do Azure?

Não. Um Administrador Global gerencia o nível do diretório (Entra ID) e não tem acesso automático aos recursos do Azure, a menos que eleve explicitamente o próprio acesso usando a opção do portal para administração de acesso de usuários em todas as assinaturas.

Qual é a diferença de escopo entre uma função do Azure e uma função do Entra ID?

As funções do Azure podem ser definidas para grupos de gerenciamento, assinaturas, grupos de recursos ou recursos individuais. As funções do Entra ID são definidas para todo o locatário, unidades administrativas ou objetos de aplicativo específicos.

Posso usar uma função do Entra ID para atribuir permissões em uma máquina virtual específica do Azure?

Não. As funções do Entra ID gerenciam objetos de diretório, como usuários e aplicativos. Para gerenciar permissões de uma máquina virtual ou de um grupo de recursos, você deve usar o Controle de Acesso Baseado em Função do Azure (RBAC).

O que acontece com as funções clássicas de administrador de assinatura no Azure?

As funções clássicas de administrador, como Administrador de Conta, Administrador de Serviço e Coadministrador, foram totalmente desativadas pela Microsoft. Todo o gerenciamento de acesso moderno é feito exclusivamente pelo Azure RBAC.