Guia de Acesso entre Locatários do Microsoft Entra

By Mirko Peters · 2026-04-29 · Updated 2026-07-18

Saiba como usar o acesso entre locatários do Microsoft Entra com orientações práticas sobre segurança, governança, controle de acesso, implementação e uso no dia a dia.

Automatically translated with AI from the original post. Read the English original

As configurações de acesso entre locatários no Microsoft Entra ID estão no centro de uma colaboração segura e flexível entre organizações. À medida que as empresas levam mais do seu trabalho para a nuvem, a necessidade de se conectar e trabalhar com parceiros, fornecedores ou até subsidiárias em diferentes locatários da Microsoft cresceu como nunca, e também ficou mais complexa. O Entra ID oferece um conjunto de ferramentas poderosas para você controlar quem entra, o que pode fazer e como manter suas próprias portas bem trancadas.

Este guia mostra todas as formas como as configurações de acesso entre locatários do Entra ID podem tornar o gerenciamento de identidades B2B seguro e prático. Vamos abordar desde a criação de regras básicas e o ajuste fino de políticas para parceiros específicos até integrações avançadas, etapas de segurança de confiança zero e solução de problemas em cenários reais. Seja para começar com alguns usuários externos ou para atender a exigências rigorosas de conformidade e governança, você encontrará respostas aqui.

Entendendo o acesso entre locatários B2B no Entra ID

O mundo não funciona em ilhas, especialmente quando falamos de TI corporativa. Quase todas as organizações dependem de colaboração além das suas fronteiras. Isso pode envolver consultores, parceiros da cadeia de suprimentos ou outra empresa que você tenha adquirido. O desafio? Cada empresa gerencia o seu próprio locatário do Microsoft Entra ID, e você não pode simplesmente liberar tudo sem colocar em risco os seus dados.

É exatamente aqui que entram as configurações de acesso B2B entre locatários no Entra ID. Elas permitem definir, monitorar e ajustar como os usuários de um locatário interagem com recursos de outro, seja convidando usuários externos, habilitando o acesso a aplicativos críticos ou aplicando verificações de segurança rigorosas no caminho. É como ter um segurança na porta que confere os documentos, mas também sabe quem está na lista VIP, quem só pode espiar pela janela e quem não tem nenhum motivo para chegar perto dos seus dados.

Em linhas gerais, o acesso B2B entre locatários não é apenas mais um conjunto de chaves ou caixas de seleção. É uma estrutura abrangente para gerenciamento de identidades e construção de confiança entre organizações do Microsoft Entra. Essas configurações são diferentes das ferramentas cotidianas de colaboração externa ou das políticas básicas de acesso condicional: elas definem as regras de relacionamento para cada usuário externo e cada solicitação de saída. Entender como essas configurações se encaixam na sua estratégia geral de identidade é fundamental antes de partir para a configuração prática, que veremos nas seções detalhadas a seguir.

O que são as configurações de acesso entre locatários para colaboração B2B?

As configurações de acesso entre locatários no Microsoft Entra ID são um conjunto de configurações que permitem gerenciar como usuários de outros locatários do Entra interagem com os recursos da sua organização, e vice-versa. Essas configurações têm papel central na colaboração B2B (business-to-business) segura, seja com terceirizados, parceiros externos ou empresas adquiridas que precisam trabalhar dentro do seu ambiente digital.

Com as configurações de acesso B2B entre locatários, você pode definir os níveis de confiança, as permissões e as condições para identidades de convidados. Isso significa que você pode especificar se aceita declarações de autenticação multifator (MFA) ou de conformidade de dispositivo vindas do locatário de um parceiro, aplicar as suas próprias políticas ou bloquear todo o acesso, exceto para usuários ou aplicativos específicos. Em resumo, é o seu centro de comando para definir quem acessa o quê, onde e como, além das fronteiras entre locatários.

Essas políticas podem ser configuradas globalmente (para toda a organização) ou personalizadas para cada parceiro externo (específicas por organização). Essa flexibilidade oferece controle granular sobre o nível de acesso que você concede, ajudando a cumprir requisitos internos de segurança e exigências regulatórias como LGPD e HIPAA. Como benefício extra, esses controles simplificam o ciclo de vida dos usuários, agilizam a integração de identidades externas e reduzem a proliferação de identidades, algo que todo profissional de TI sabe que pode virar dor de cabeça.

No fim das contas, as configurações de acesso entre locatários fazem a ponte entre a colaboração fluida e a segurança rigorosa. Elas não servem para deixar qualquer pessoa entrar; servem para tornar seguro e eficiente trazer para o seu ecossistema do Microsoft Entra parceiros de confiança, com regras que você controla em cada etapa.

Acesso entre locatários B2B vs. outras configurações de identidade no Entra ID

É fácil confundir as configurações de acesso entre locatários com outras ferramentas de identidade no Entra ID, mas elas têm finalidades bem diferentes. O acesso B2B entre locatários trata de como organizações externas do Entra e os usuários delas interagem com o seu locatário e seus recursos, definindo regras claras para a colaboração de entrada e de saída. Já as políticas de Acesso Condicional controlam o que os usuários podem acessar com base em risco, conformidade do dispositivo ou localização, sejam eles internos ou externos.

Enquanto isso, as configurações de colaboração externa tratam dos convites para usuários convidados e do compartilhamento em geral, e as configurações de provedor de identidade definem quais serviços podem autenticar os seus usuários. Entender quando usar cada uma delas mantém a sua segurança firme e, ao mesmo tempo, flexível, evitando portas escancaradas por acidente ou políticas confusas e sobrepostas que possam causar problemas. Para saber mais sobre como potencializar o acesso condicional, veja este artigo sobre questões de confiança e políticas em ambientes do Microsoft 365.

Configurar o padrão de acesso e as configurações específicas por organização

Agora que você entende por que o acesso entre locatários é importante e como ele se encaixa no quadro maior de gerenciamento de identidades, é hora de arregaçar as mangas e fazer isso funcionar para você. O primeiro passo é definir o que é permitido por padrão, tanto quem entra no seu ambiente (entrada) quanto quem sai para trabalhar com outras organizações (saída). O Microsoft Entra ID permite definir uma política de referência que se aplica a todas as organizações, mantendo tudo simples e previsível.

Mas os negócios nem sempre seguem um modelo único. Talvez você confie no Fornecedor A para dados financeiros sensíveis, mas queira manter o Fornecedor B à distância. É aí que entram as exceções específicas por organização, que permitem restringir ou ampliar o acesso para parceiros escolhidos sem afetar todos os demais. Combinadas, essas regras padrão e personalizadas criam uma base sólida e flexível para a colaboração, alinhada aos seus relacionamentos comerciais reais.

As próximas seções detalham exatamente como configurar essas definições padrão e personalizadas para que você possa mapear os seus caminhos de acesso, as barreiras de proteção que tornam a colaboração externa segura e produtiva para os seus usuários.

Configurar as definições padrão de entrada e saída

1. Acesse as configurações de acesso entre locatários: Entre no centro de administração do Microsoft Entra. Navegue até a seção Identidades Externas e escolha "Configurações de acesso entre locatários". Este é o seu ponto de partida para toda a configuração de entrada e saída.
2. Defina as políticas padrão de entrada: Decida quem de locatários externos pode acessar os seus recursos por padrão. Aqui, você pode permitir todos os locatários, bloquear todos por padrão ou permitir somente organizações verificadas. Usos típicos incluem bloquear por padrão, com exceções para parceiros de confiança, ou permitir por padrão se você atua em um setor de alta colaboração, mas gerencia o risco com outros controles.
3. Defina as configurações padrão de saída: Controle como os seus usuários acessam recursos em outros locatários. Você pode bloquear todo o acesso de saída se precisar de controles de dados rígidos, ou permitir esse acesso se os usuários colaboram regularmente com parceiros externos pelo Teams ou pelo SharePoint. A maioria das organizações encontra um equilíbrio ao permitir o acesso de saída, mas monitorando-o e revisando-o regularmente.
4. Configure as definições de confiança: Escolha se você vai confiar nas declarações de MFA externo e de conformidade de dispositivo. Você pode exigir que usuários externos comprovem o MFA no locatário deles ou obrigá-los a refazê-lo de acordo com a sua própria política. Essa etapa reduz riscos sem incomodar constantemente os colaboradores legítimos.
5. Salve e monitore: Depois que os padrões estiverem definidos, salve as alterações e monitore a atividade entre locatários. Use logs de auditoria e revisões de acesso para confirmar que as suas configurações funcionam como esperado, identificando comportamentos inesperados antes que se tornem um incidente de segurança.

Ao definir cuidadosamente o acesso padrão de entrada e saída, você cria a base para uma colaboração segura e previsível, sem prejudicar a produtividade. Essa abordagem também se alinha bem às necessidades de governança e conformidade, porque limita a exposição desnecessária desde o início.

Personalizar as regras de acesso padrão por organização

1. Adicione organizações externas específicas: nas Configurações de acesso entre locatários, especifique um locatário externo informando o respectivo ID de locatário. Isso cria uma exceção para esse parceiro, independentemente das regras padrão.
2. Personalize as regras de acesso: para cada organização adicionada, defina as permissões de entrada e de saída. Você pode bloquear todo o acesso de um fornecedor, exceto os canais compartilhados do Teams, mas conceder acesso total ao SharePoint para uma subsidiária.
3. Use para uma segurança direcionada: essas configurações específicas por organização permitem equilibrar necessidades de negócio e risco. Você pode restringir ou permitir o acesso a aplicativos sensíveis, confiar na MFA externa apenas de parceiros selecionados ou exigir dispositivos em conformidade de colaborações de alto risco.

Essas exceções personalizadas são fundamentais para alinhar as políticas de TI com os relacionamentos reais de negócio, garantindo que você não use uma marreta quando um bisturi resolve.

Gerenciar organizações confiáveis e controlar o acesso

Depois de definir suas configurações padrão e exceções personalizadas, você ainda precisa de um processo para manter o acesso entre locatários saudável ao longo do tempo. Os relacionamentos de negócio podem mudar rapidamente: o parceiro estratégico de hoje pode ser o concorrente de amanhã, ou o contrário. Por isso, você precisa de uma forma simples de adicionar ou remover organizações da sua lista de confiança e de ajustar as permissões que acompanham essa confiança.

O Microsoft Entra ID permite gerenciar exatamente quem é considerado uma organização externa confiável. Não se trata apenas de ligar ou desligar alguém. Trata-se de manter controle rigoroso sobre quem tem acesso, que tipo de acesso recebe e de cortar o acesso imediatamente caso algo saia do controle. Gerenciar corretamente essas organizações confiáveis é um passo importante para alinhar a colaboração de TI tanto ao seu playbook de segurança quanto à sua lista de conformidade (especialmente se você precisa atender a HIPAA, GDPR ou SOC 2).

Nas próximas seções, veremos o passo a passo para adicionar e remover organizações, além de como ajustar o nível de confiança para o acesso de entrada e de saída, até o nível de aplicativos ou tipos de recurso específicos.

Adicionar e remover uma organização das políticas entre locatários

• Adicione uma organização: informe o ID do locatário externo no painel de gerenciamento entre locatários. O Entra ID vai buscar o nome de exibição dele, o que facilita confirmar que você está selecionando o parceiro certo.
• Configure a confiança e o acesso: defina as regras de entrada e de saída específicas para essa organização e salve as alterações para que tenham efeito imediato.
• Remova uma organização: se as necessidades de negócio mudarem, basta selecionar a organização e excluí-la das suas políticas entre locatários. O acesso é revogado em tempo real.
• Revise a segurança e a conformidade: adicionar ou remover organizações confiáveis deve seguir seus fluxos internos de aprovação, para evitar exposição acidental ou revogações de acesso que não sejam feitas.

Revisões regulares dessa lista de confiança ajudam a manter a colaboração alinhada ao seu apetite de risco e à realidade do negócio, e não à planilha de fornecedores do ano passado.

Modificar a confiança de acesso de entrada e de saída para organizações externas

• Ajuste o acesso de entrada: defina com precisão quais usuários de organizações externas podem acessar quais dos seus recursos, chegando até o nível de grupo, aplicativo ou site, se necessário.
• Altere as permissões de saída: decida se e como seus usuários podem interagir com o ambiente do parceiro. Isso pode restringir a colaboração de saída apenas ao Teams ou ampliar o acesso.
• Bloqueie ou permita aplicativos específicos: os controles granulares permitem bloquear o acesso a aplicativos sensíveis e liberar outros conforme a necessidade.
• Responda a circunstâncias em mudança: essas configurações podem ser ajustadas rapidamente em resposta a achados de auditoria ou a atualizações da política de conformidade, garantindo que seus controles sempre reflitam o contexto atual do negócio.

Manter essas permissões atualizadas oferece uma rede de proteção contra o uso indevido, tanto acidental quanto intencional, permitindo confiar no acesso, mas verificá-lo em todas as etapas.

Colaboração segura com MFA de confiança de entrada e conformidade de dispositivos

Nem os melhores controles de acesso servem de muito se você não puder confiar na forma como os usuários comprovam quem são. Colaboração segura entre locatários depende de autenticação forte e de higiene de dispositivos. Caso contrário, você corre o risco de deixar entrar invasores que surgem em um locatário parceiro do outro lado do mundo.

O Microsoft Entra ID permite que você se apoie na segurança dos seus parceiros, optando por confiar na autenticação multifator (MFA) e na conformidade de dispositivos que eles aplicam do lado deles. Se um parceiro exige que seus usuários passem pela MFA e mantenham os notebooks em conformidade, você pode aceitar essas declarações quando eles acessarem seus recursos, sem precisar duplicar as verificações e frustrar os usuários. Mas, se você não confiar nos padrões deles, pode exigir que eles cumpram seus próprios requisitos de segurança.

E, como as coisas às vezes saem do roteiro (dispositivos perdidos, MFA expirada, convidados não registrados), o Entra ID também oferece suporte a autenticação de fallback, como o envio de um código de acesso único. Isso garante que usuários legítimos ainda consigam acessar em situações emergenciais, mantendo os impostores afastados. As próximas seções detalham as etapas e os cenários que vão ajudar você a aproveitar ao máximo essa confiança entre locatários sem abrir novos caminhos para ataques.

Confiar em declarações de MFA e de dispositivo recebidas de parceiros

1. Habilite a confiança em MFA de entrada: configure as suas configurações entre locatários para confiar nas declarações de autenticação multifator de organizações externas selecionadas. Isso significa que, se os usuários se autenticarem com MFA no locatário de origem, você aceita essa autenticação (em vez de exigir verificações adicionais) quando eles acessarem seus recursos.
2. Confie nas declarações de conformidade de dispositivos: permita que o seu locatário reconheça quando os dispositivos usados por usuários externos atendem aos requisitos de conformidade ou de ingresso na organização de origem. Útil em cenários envolvendo endpoints híbridos ou compatíveis gerenciados por parceiros.
3. Equilibre experiência do usuário e segurança: confiar em MFA e conformidade de dispositivos externos melhora a conveniência para os parceiros, mas essa opção só deve ser habilitada para organizações que você sabe que atendem a linhas de base de segurança elevadas. Caso contrário, você pode impor as suas próprias políticas não confiando em declarações externas.
4. Monitore anomalias: audite regularmente as sessões de entrada e a postura dos dispositivos para garantir que as declarações de conformidade externas não estejam sendo contornadas ou falsificadas, usando os logs e relatórios do Entra ID.

Ao implementar essa confiança, você simplifica a vida dos colaboradores legítimos, mas precisa manter atenção redobrada aos trilhos de auditoria para identificar desvios ou abusos.

Gerenciar provedores de identidade (Entra) e autenticação de fallback

• Configuração de provedores de identidade: defina e gerencie quais provedores de identidade os seus usuários convidados podem usar para se autenticar no seu locatário, como Microsoft Entra, Google ou provedores baseados em SAML.
• Habilite a autenticação de fallback: ative opções de fallback, como códigos de acesso único, para usuários cujo provedor de identidade de origem não é compatível ou não está disponível. Isso ajuda a garantir a continuidade do negócio sem baixar a guarda.
• Negue ou restrinja provedores não confiáveis: limite ou bloqueie a autenticação de provedores de identidade que não atendam aos padrões de segurança ou de conformidade da sua organização, garantindo que apenas fontes de identidade validadas sejam aceitas.

Essas configurações são a sua rede de segurança, permitindo que você mantenha o controle mesmo quando as coisas saem do previsto para convidados ou parceiros externos.

Colaboração avançada: configure o B2B Direct e a integração externa

Já passou o tempo em que a colaboração se limitava ao simples compartilhamento de documentos. Com o Microsoft Entra, opções avançadas como o B2B Direct Connect permitem que você colabore em tempo real com parceiros externos, por exemplo, compartilhando canais do Teams sem nunca precisar convidar usuários como convidados tradicionais. O resgate automático acelera o onboarding e, em alguns casos, faz com que a colaboração externa pareça exatamente como a interna.

Mas a história não para no Teams. Organizações modernas frequentemente precisam de integração rigorosa e governada entre plataformas, especialmente o SharePoint, que é a base de compartilhamento de arquivos e intranet para muitas delas. O Microsoft Entra oferece controles para estender as políticas entre locatários até o SharePoint Online e permite automatizar e gerenciar o acesso por meio de APIs como o Microsoft Graph.

Esses recursos ajudam as organizações a maximizar a produtividade sem perder de vista a governança e a segurança. Eles também são essenciais em ambientes de grande porte, onde vários locatários e aplicativos do Power Platform convergem e os riscos de Shadow IT ficam à espreita em segundo plano (confira este guia para descobrir a bagunça). As próximas seções explicam como habilitar uma colaboração direta e contínua e manter o controle dos seus dados onde quer que eles estejam.

Configurar o B2B Direct e habilitar o resgate automático

• Habilite o B2B Direct Connect: No Entra ID, ative o B2B Direct Connect para permitir que usuários de organizações confiáveis participem instantaneamente de canais compartilhados do Teams, sem a necessidade de convites tradicionais.
• Configure o Resgate Automático: Configure a política para que os usuários B2B possam resgatar seus convites automaticamente ao acessar recursos, tornando o processo de integração simples e fácil de usar.
• Benefícios para a Experiência: Esses recursos aceleram a colaboração e aumentam a produtividade, já que os usuários desperdiçam menos tempo com aceitações manuais e com dores de cabeça para a TI.

Configurações avançadas reduzem o atrito, o que é ideal para colaborações baseadas em projetos ou recorrentes que exigem conexões seguras e em tempo real.

Configure as políticas de compartilhamento (SharePoint) e a colaboração externa (Entra)

• Integre o Acesso entre Locatários com o SharePoint: Alinhe as políticas de compartilhamento do SharePoint Online com as configurações entre locatários no Entra para ampliar ou restringir a colaboração em documentos com usuários externos.
• Gerencie pela Microsoft Graph API: Use automação, scripts e comandos REST para controlar permissões e políticas de compartilhamento em escala. Isso é essencial em setores regulamentados ou em ambientes grandes e propensos à proliferação descontrolada, como destacado em este podcast sobre governança de IA no SharePoint.
• Dê Suporte às Soluções do Power Platform: Reconheça os riscos de governança do uso de Listas do SharePoint em aplicativos personalizados, aplicando controles entre locatários e considerando backends mais resilientes, como o Microsoft Dataverse (veja: Dataverse vs. erros de governança do SharePoint).
• Casos de Uso de Colaboração em Documentos: Use políticas de compartilhamento sob medida para dar suporte com segurança a cenários como due diligence em fusões e aquisições, joint ventures ou projetos voltados a clientes, nos quais a troca de documentos precisa ser eficiente e, ao mesmo tempo, rigidamente controlada.

Ao integrar SharePoint e Entra, você evita o caos do compartilhamento sem governança e torna a colaboração em conformidade e auditável o padrão, e não a exceção.

Melhores Práticas e Feedback para a Melhoria Contínua

Nenhuma implantação de acesso entre locatários é do tipo "configure e esqueça", especialmente quando seus relacionamentos comerciais, requisitos de conformidade e cenário técnico estão em constante mudança. O segredo é embasar sua abordagem em melhores práticas comprovadas, manter supervisão constante e tratar cada política como algo vivo, que melhora com feedback e monitoramento.

Para manter tudo seguro e em conformidade, comece com os pré-requisitos corretos e com um entendimento claro de onde estão seus maiores riscos. Use automação, logs de auditoria e revisões contínuas para fortalecer suas defesas e identificar problemas antes que se transformem em violações ou lacunas de conformidade (assim como neste estudo de caso real sobre uma violação no M365).

E não opere isoladamente. Cada ambiente é único, então use os relatórios nativos, consulte suas partes interessadas e envie à Microsoft os insights sempre que algo não se encaixar no seu negócio. A automação com PowerShell e o monitoramento proativo (como detalhado neste guia sobre controle de compartilhamento externo) são seus aliados para o sucesso contínuo. As seções a seguir detalham as práticas recomendadas e as etapas essenciais para manter seu acesso entre locatários bem protegido e fácil de usar.

Melhores Práticas e Pré-requisitos para Acesso Seguro

• Segurança de Base Antes de Abrir Portas: Garanta controles fundamentais como acesso condicional, proteção contra ameaças e governança de dados adequada (confira estratégias neste guia de melhores práticas de segurança).
• Conheça Seus Dados e Priorize a Propriedade: Mapeie a propriedade dos dados, rotule a confidencialidade e configure fluxos de aprovação, conforme descrito nas práticas de governança do M365.
• Limite o Acesso Externo Amplo: Use políticas de negação por padrão sempre que houver dúvida e conceda exceções apenas a parceiros que passarem nos seus testes de conformidade.
• Alinhe com os requisitos de compliance: Verifique as configurações e as substituições em relação aos controles do GDPR, da HIPAA ou do SOC 2 para evitar dores de cabeça em auditorias no futuro.

Organizar essas questões desde o início evita que você desfaça anos de gestão de riscos com um único clique.

Monitorar acessos, coletar feedback e resumo

• Configure o monitoramento contínuo: Aproveite os logs do Entra, as trilhas de auditoria e ferramentas externas, como o Microsoft Defender for Cloud (veja como), para identificar acessos entre locatários que sejam suspeitos ou não estejam em conformidade.
• Revise e audite regularmente: Agende revisões de acesso e auditorias de compliance com frequência, usando serviços como o Microsoft Purview ou scripts do PowerShell em nível de locatário.
• Incorpore ciclos de feedback: Colete feedback de usuários e administradores, analise os logs de erro e compartilhe as conclusões com a Microsoft para ajudar a moldar as melhorias futuras do Entra.
• Seja proativo: Atualize as políticas de acesso e de compartilhamento assim que os relacionamentos comerciais ou os frameworks de compliance mudarem. Não espere pelas revisões trimestrais nem pelas auditorias anuais.

A principal conclusão: o acesso entre locatários é tão sólido quanto a sua capacidade de monitorar, reagir e melhorar. Alguns minutos de atenção regular, somados a um bom ciclo de feedback, valem muito mais do que qualquer etapa isolada de configuração.

Ouça também

Se você está pesquisando sobre o acesso entre locatários do Microsoft Entra, estes episódios trazem contexto prático sobre segurança de identidade, governança, acesso privilegiado e implementação:

• Microsoft Defender XDR – Simply Explained — Conecte a governança de identidades com sinais de segurança, investigação e resposta.
• Conditional Access – Simply Explained — Entenda como os controles de acesso baseados em política aplicam as decisões de identidade.
• Privileged Identity Management – Simply Explained — Entenda privilégios just-in-time, aprovações e revisões de acesso.
• Microsoft Teams Governance – The Illusion of Control — Veja como a governança transforma permissões e propriedade em operações repetíveis.