Funções personalizadas no Microsoft Entra ID: Guia

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Saiba como usar funções personalizadas no Microsoft Entra ID, com orientações práticas sobre segurança, governança, controle de acesso, implementação e uso no dia a dia.

Automatically translated with AI from the original post. Read the English original

Este guia completo explica tudo o que você precisa saber sobre funções personalizadas no Azure Entra ID. Seja para proteger seu ambiente do Microsoft 365 ou conceder acesso específico a recursos do Azure, as funções personalizadas permitem ajustar as permissões exatamente como você precisa.

Vamos examinar o que são funções personalizadas, em que se diferenciam das funções integradas e como elas viabilizam um controle de acesso preciso. Você vai acompanhar passo a passo, incluindo como manter o ambiente organizado e seguro, gerenciar as funções ao longo do tempo e garantir que nunca conceda mais acesso do que o necessário. Ao final, você entenderá não apenas como configurar e gerenciar funções personalizadas, mas como fazer isso com segurança e conformidade.

Entendendo as funções personalizadas no Azure Entra ID

Vamos começar apresentando as funções personalizadas no Azure Entra ID: o que são, por que são importantes e como se encaixam na estratégia de gerenciamento de acesso da sua organização.

O Azure Entra ID, antigamente conhecido como Azure Active Directory, é o centro da identidade e do acesso a recursos de nuvem no Azure e no Microsoft 365. Embora a Microsoft ofereça um conjunto sólido de funções integradas, às vezes elas são amplas demais ou simplesmente não se adequam às necessidades específicas do seu negócio.

As funções personalizadas preenchem essa lacuna ao permitir que você defina exatamente quais permissões usuários e grupos recebem, até o nível de ação individual. Assim, você nunca precisa conceder a alguém mais acesso do que deveria só porque uma função integrada vai além do necessário.

Nas próximas seções, você aprenderá os princípios fundamentais por trás das funções personalizadas. Isso vai ajudar você a criar um modelo de acesso seguro e flexível, que protege o ambiente e acompanha a forma como suas equipes precisam trabalhar. Vamos analisar as diferenças entre funções integradas e personalizadas e entender quais recursos oferecem suporte a esse nível de controle.

O que são funções personalizadas no Azure e por que usá-las

As funções personalizadas no Azure são conjuntos de permissões definidos pelo usuário, que você pode criar quando as funções integradas da Microsoft não atendem às necessidades da sua organização. Cada função descreve com precisão quais ações um usuário ou grupo pode executar no seu ambiente do Azure ou do Microsoft 365.

Diferentemente das funções integradas, que foram criadas para cenários comuns como "Proprietário", "Colaborador" ou "Leitor", as funções personalizadas oferecem controle granular. Você decide quais permissões a função concede, então libera apenas o acesso aos recursos e ações necessários, e nada além disso.

O real valor das funções personalizadas se resume a dois grandes benefícios: flexibilidade e segurança. Com elas, você pode aplicar o princípio do privilégio mínimo, concedendo aos usuários somente as permissões necessárias para o trabalho deles, sem nenhum extra. Isso reduz riscos, evita alterações acidentais e contribui para os objetivos de auditoria e conformidade.

Ao detalhar permissões específicas, você não precisa conceder acesso amplo só para que alguém execute uma única tarefa. Essa abordagem cirúrgica ao controle de acesso ajuda a evitar o acúmulo excessivo de permissões, fecha lacunas de segurança e mantém o ambiente organizado e fácil de gerenciar. Para organizações comprometidas com uma governança sólida na nuvem, as funções personalizadas no Entra ID são uma ferramenta essencial. Para uma visão mais aprofundada da estratégia de governança no Azure, confira este guia sobre estratégia de governança empresarial no Azure, que aborda como políticas aplicadas e RBAC personalizado protegem contra desvios de política e caos operacional.

Objetos compatíveis e escopo das funções personalizadas do Azure

• Grupos de gerenciamento: aplique funções personalizadas no nível superior para gerenciar permissões em várias assinaturas do Azure da sua organização. Útil para políticas globais e ambientes de grande escala.
• Assinaturas: atribua funções personalizadas no nível da assinatura para controlar as permissões de todos os recursos e cargas de trabalho dessa assinatura do Azure.
• Grupos de recursos: defina o escopo das funções personalizadas de forma mais restrita, para um grupo de recursos relacionados. Isso permite delegar apenas o necessário para um projeto ou aplicativo.
• Recursos individuais/workspaces: defina funções personalizadas para recursos únicos (como uma conta de armazenamento ou um workspace específico) quando precisar do escopo de permissões mais restrito possível.
• Objetos do Entra ID (Azure AD): Você pode atribuir funções personalizadas diretamente a usuários, grupos (incluindo grupos de segurança e grupos do Microsoft 365) e entidades de serviço, o que torna a solução flexível tanto para cenários de acesso interno quanto externo.

As funções personalizadas seguem a hierarquia do Azure: as permissões podem ser herdadas ou substituídas em níveis mais baixos, o que favorece as estratégias de privilégio mínimo e separação de funções da sua organização.

Criando e gerenciando funções personalizadas no Entra ID do Azure

Colocar funções personalizadas em funcionamento no Entra ID do Azure não se resume a apertar um botão. É um equilíbrio cuidadoso entre saber de que acesso você precisa, configurar as funções com as permissões corretas e ter um plano para gerenciá-las conforme as coisas mudam.

Esta seção vai guiar você pelo ciclo de vida completo: criar uma função personalizada, atualizá-la com segurança conforme os requisitos mudarem e excluir funções quando elas não forem mais necessárias. Você também verá como escolher as permissões certas para o seu caso de negócio, incluindo as melhores práticas para o uso de permissões curinga (a clássica faca de dois gumes).

O objetivo aqui é capacitar você a criar, adaptar e aposentar funções personalizadas sem quebrar nada, mantendo seu ambiente seguro e em conformidade. Vamos abordar tudo passo a passo e compartilhar dicas práticas que servem tanto para quem está começando quanto para quem gerencia um locatário complexo e em crescimento.

Como criar, editar e excluir funções personalizadas do Azure

• Criando uma função personalizadaIdentifique as tarefas específicas que a função deve permitir, como acesso somente leitura a determinados recursos ou a capacidade de reiniciar máquinas virtuais.
• Reúna as permissões necessárias usando as definições de ação do Azure (por exemplo, Microsoft.Compute/virtualMachines/restart/action).
• Use o portal do Azure, a CLI do Azure ou o Azure PowerShell para definir uma nova função personalizada, incluindo o nome da função, a descrição, os escopos atribuíveis e o array de permissões.
• Revise e salve sua função personalizada. Teste-a em um ambiente controlado para verificar se o acesso está limitado ao que é necessário.
• Editando (atualizando) uma função personalizadaQuando os requisitos de negócio ou as necessidades de segurança mudarem, você pode atualizar as permissões, as descrições ou os escopos atribuídos da função.
• Sempre documente as atualizações e revalide que apenas as permissões pretendidas estão presentes. Evite adicionar permissões de forma que amplie o acesso além do necessário.
• Comunique as mudanças aos usuários e equipes impactados para evitar surpresas e interrupções.
• Excluindo uma função personalizadaAntes de excluir uma função personalizada, audite suas atribuições ativas. Certifique-se de que nenhum processo crítico ou usuário depende dela.
• Remova a atribuição da função de usuários e grupos, migre o acesso quando for apropriado e garanta que a exclusão não vai interromper o fluxo do negócio.
• Use as ferramentas do Azure para remover a função por completo. Documente as funções removidas para fins de conformidade e referência histórica.

Seguir essas etapas ajuda você a se manter em conformidade e a manter a segurança firme, garantindo que seu modelo de acesso acompanhe o crescimento do seu ambiente Azure.

Definindo permissões e usando permissões curinga com segurança

• Escolha as permissões com critérioComece listando as ações específicas de que seus usuários precisam, e não "tudo que existe". Consulte as melhores práticas de segurança e governança do Power Platform para lidar com lacunas de acesso e alinhar as permissões aos requisitos de conformidade.
• Agrupe permissões relacionadas para reduzir a atribuição excessiva de permissões ("permission bloat").
• Quando usar permissões curinga (*)Os curingas concedem todas as permissões dentro de uma categoria (como Microsoft.Storage/*) e são poderosos, mas arriscados. Use-os somente quando o caso de uso realmente exigir acesso amplo para a função.
• Prefira listar explicitamente as permissões em vez de usar curingas sempre que possível, para evitar escalonamento acidental de privilégios ou efeitos colaterais indesejados.
• Atribua permissões "Contribute" com cautelaFunções de Colaborador ou permissões "contribute" muitas vezes incluem ações inseguras ou inesperadas. Sempre verifique cuidadosamente o que a definição abrange e restrinja onde for possível.
• Remova ações de exclusão ou de propriedade se elas não forem necessárias, usando "denyAssignments" ou funções personalizadas que isolem capacidades de risco.
• Teste as funções antes da atribuiçãoAtribua sua função personalizada a um usuário de teste em um ambiente sandbox. Execute as ações habituais e também possíveis "acidentes" para ver o que está realmente permitido.
• Documente o comportamento esperado versus o real. Se houver divergência, ajuste as permissões antes de publicar em produção.
• Revisão contínua e atualizaçãoAcompanhe o uso das funções junto com os processos de auditoria mais amplos. Remova ou restrinja permissões quando o negócio não precisar mais delas.
• Audite as funções periodicamente para garantir que a governança continue alinhada aos padrões de conformidade em evolução.

Ao focar na modelagem deliberada de permissões e no uso limitado de curingas, você mantém seu ambiente do Azure enxuto e responsivo, reduzindo a exposição a riscos de segurança relacionados ao acesso.

Atribuindo funções personalizadas a usuários e grupos no Entra ID

Depois de definir quais funções personalizadas você precisa, o próximo passo é colocá-las nas mãos certas. O Azure Entra ID permite atribuir essas funções a pessoas, equipes ou até mesmo parceiros externos, dando a você controle e agilidade sobre quem pode fazer o quê.

Esta seção vai detalhar como atribuir funções personalizadas em diferentes níveis, como workspaces e sites, e como trabalhar com grupos internos e externos. As atribuições não são configuradas e esquecidas: você precisa ser estratégico, garantindo que o acesso continue correto à medida que projetos terminam, pessoas mudam de função ou fornecedores externos entram e saem.

Você também vai encontrar dicas para estruturar as atribuições de forma que facilitem as revisões e reduzam o risco ao mínimo. Como as atribuições de funções costumam ser um ponto problemático quando fogem do controle, vamos destacar estratégias para mantê-las gerenciáveis e em conformidade, incluindo o uso das ferramentas nativas do Entra para governança contínua. Para saber mais sobre os perigos das contas de convidados esquecidas, veja como gerenciar o ciclo de vida das contas de convidado do Microsoft 365 para uma higiene de identidade mais sólida.

Atribua funções personalizadas no nível de workspace e de site

• Atribuições no nível de workspaceNo Portal do Azure, selecione o recurso do workspace e, em seguida, “Controle de acesso (IAM)”.
• Clique em “Adicionar atribuição de função”, escolha sua função personalizada e selecione usuários ou grupos para conceder permissões apenas àquele workspace.
• Use atribuições no nível de workspace para equipes de desenvolvimento e teste, ou para aplicativos sensíveis que precisam de acesso com escopo bem restrito.
• Atribuições no nível de site (ou recurso)Navegue diretamente até o site ou recurso específico, acesse os controles de IAM e atribua sua função personalizada apenas a esse item.
• Isso mantém o acesso seguro e isolado, especialmente ao lidar com recursos de vários projetos ou departamentos.
• Ideal para administradores de um único site, proprietários de aplicativos ou fornecedores terceirizados que não precisam de outros acessos.
• Atribuições no nível de assinaturaAcesse a assinatura do Azure, abra a seção IAM e atribua funções personalizadas a usuários ou grupos que precisam de permissões em todos os recursos da assinatura.
• Atribuições no nível de assinatura funcionam bem para administradores de nuvem ou equipes de plataforma que supervisionam cargas de trabalho amplas.
• Melhores práticasSempre atribua o menor escopo necessário. É melhor conceder acesso no nível de workspace ou de site do que na assinatura inteira, a menos que seja absolutamente necessário.
• Documente cada atribuição com a justificativa de negócio, o que ajuda em auditorias e em limpezas futuras.
• Revise regularmente e revogue as atribuições de função de usuários que não precisam mais de acesso.

Com essas abordagens, você evita superexposição acidental e mantém um controle de acesso baseado em funções sólido em todas as camadas do Azure.

Gerenciando atribuições de funções personalizadas e grupos

• Atribua a grupos gerenciados: atribua funções personalizadas a grupos do Entra ID em vez de usuários individuais, para uma gestão de acesso escalável e consistente.
• Revise as associações de grupos: audite periodicamente as listas de grupos para remover usuários que não precisam mais de acesso ou que mudaram de função.
• Automatize as revisões de atribuições: use as ferramentas de revisão de acesso do Entra ID (como Access Reviews ou gerenciamento de direitos) para confirmar regularmente que as associações de grupos e as atribuições de funções continuam válidas.
• Limite a exposição de parceiros externos: defina datas de expiração ou use acesso com prazo determinado para convidados ou fornecedores externos, de modo que as atribuições remanescentes sejam removidas automaticamente.
• Monitore e audite: acompanhe as atribuições de funções por meio de logs e relatórios. Processos de auditoria reforçados, como os usados em abordagens de estruturas de controle de compartilhamento externo do SharePoint/OneDrive, são essenciais para prevenir riscos de acesso invisível e fechar brechas de segurança.

Ferramentas e interfaces para o gerenciamento de funções personalizadas no Azure

Ninguém quer ficar navegando em telas infinitas do Azure quando existe um caminho mais simples. No Azure, você conta com várias interfaces (CLI do Azure, PowerShell e a API REST) para automatizar e criar scripts para a criação e o gerenciamento de funções personalizadas.

Essa flexibilidade ajuda você a escalar, padronizar e reduzir erros manuais. Seja você uma pessoa que prefere "clicar no portal", um fã da linha de comando ou alguém que executa pipelines de infraestrutura como código, existe uma ferramenta para você. Cada uma permite criar, atualizar, atribuir e monitorar funções personalizadas com rapidez, encaixando-se no fluxo de trabalho que funciona melhor para sua equipe.

As próximas seções vão detalhar cada interface com exemplos práticos, ajudando você a ganhar eficiência, consistência e controle. Para quem depende de automação, essas ferramentas também se integram muito bem a estruturas mais amplas de governança e às práticas de DevOps no Microsoft 365 e no Azure. Se o seu foco está em temas organizacionais e arquiteturais mais amplos, fique de olho nas lições dos podcasts recentes sobre o Microsoft 365 Copilot e arquitetura corporativa, mesmo que a página original sobre automação com PowerShell tenha sido movida.

Gerenciamento de funções personalizadas com a CLI do Azure e o PowerShell

• Criando uma função personalizada com a CLI do AzureUse o comando az role definition create --role-definition com um arquivo JSON que descreva sua função personalizada.
• Defina as ações, os escopos atribuíveis e um nome descritivo. Armazene o arquivo da função no controle de versão para revisões futuras.
• Exemplo: az role definition create --role-definition ./customReaderRole.json
• Editando ou atualizando uma funçãoExporte a definição da função usando az role definition list ou az role definition show. Faça as alterações e, em seguida, use az role definition update --role-definition para aplicar as atualizações com segurança.
• Mantenha um registro das atualizações para atender às necessidades de conformidade e de reversão.
• Atribuindo uma função com a CLI do Azureaz role assignment create --assignee [user/group/object_id] --role "[role name]" --scope [resource_id]
• Ótimo para integrar novos usuários rapidamente ou ajustar o acesso das equipes em massa.
• Usando módulos do PowerShellImporte o módulo Az e use New-AzRoleDefinition para criar funções e Set-AzRoleDefinition para modificá-las.
• O PowerShell se destaca na automação de atualizações em massa ou na integração com ferramentas administrativas já existentes em ambientes Windows.
• As atribuições de função podem ser automatizadas com New-AzRoleAssignment para uma implantação rápida.
• Automação com scriptsScripts do PowerShell e da CLI podem ser agendados ou incorporados a pipelines de CI/CD para um gerenciamento de funções personalizadas repetível e sem intervenção manual.
• Inclua registro de logs e verificações simples de erros para documentar as alterações e apoiar auditorias.

Com scripts em mãos, você aumenta a precisão, economiza tempo e torna as funções personalizadas gerenciáveis, mesmo em grande escala.

Automatizando o gerenciamento de funções personalizadas com a API REST do Azure

A API REST do Azure oferece gerenciamento programático e direto das funções personalizadas em escala. Você pode criar, atualizar e auditar definições de funções personalizadas diretamente nos seus pipelines de automação, integrando-as de forma transparente aos fluxos de DevOps e CI/CD.

Com endpoints como /providers/Microsoft.Authorization/roleDefinitions e /roleAssignments, você pode criar automações para manter seu modelo de acesso consistente e rastreável. Isso é especialmente útil para organizações maiores ou para quem faz mudanças frequentes e precisa de tudo documentado e reproduzível, desde o design de funções personalizadas via API até a atribuição e as auditorias contínuas.

Não se esqueça de validar os formatos de entrada e saída da API e, para garantir uma boa conformidade, sempre execute o gerenciamento de funções por canais seguros e autenticados.

Boas práticas de manutenção e segurança das funções personalizadas

Criar funções personalizadas é apenas o começo. Se você não mantiver a manutenção e a boa higiene do ambiente, seu modelo de acesso pode ficar desorganizado e arriscado com o tempo.

As boas práticas se concentram em dois objetivos: manter a segurança e manter a organização. Isso significa fazer auditorias regulares para identificar funções não utilizadas, reduzir a proliferação de permissões e garantir que as funções acompanhem as necessidades do negócio. Também envolve manter a documentação técnica atualizada, usar os formatos de arquivo adequados para a automação e garantir que a conformidade esteja sempre no radar.

A seguir, você verá como remover funções que não são mais necessárias e como as funções são estruturadas e validadas no Azure, em detalhes técnicos. Tudo gira em torno de manter o seu ambiente enxuto, seguro e preparado para qualquer situação. Para uma segurança ainda mais robusta da Microsoft, veja como ferramentas como Microsoft Purview e Defender podem ser integradas em frameworks de boas práticas, como os detalhados em segurança robusta do M365.

Auditoria e limpeza de funções personalizadas não utilizadas

• Revise as atribuições de funções: audite regularmente quais usuários e grupos têm funções personalizadas e quais acessos essas funções concedem.
• Identifique funções não utilizadas ou redundantes: use os relatórios e os logs de acesso do Azure para encontrar funções sem atividade recente ou funções que dupliquem funções integradas ou outras funções personalizadas.
• Documente para conformidade: mantenha registros sobre o motivo da existência de cada função, quando ela foi usada pela última vez e quem é o responsável por ela. Isso ajuda muito em auditorias e revisões de conformidade.
• Remova com cuidado: remova a atribuição de funções personalizadas antes de excluí-las, para não interromper fluxos de trabalho. Sempre verifique se não há dependências ativas antes da remoção.
• Automatize as auditorias de funções: agende verificações regulares usando as ferramentas do Azure ou os recursos de auditoria do Microsoft Purview (auditoria de atividades de usuários com o Microsoft Purview) para detectar funções obsoletas e permissões desnecessárias antes que se acumulem.

Formatos de entrada e saída de definições de funções no Azure

As definições de funções do Azure usam o formato JSON tanto na entrada (na criação ou atualização) quanto na saída (na exportação ou auditoria). Essa estrutura mantém as funções personalizadas consistentes e fáceis de gerenciar em grande escala.

Os campos obrigatórios de uma definição de função incluem Name, Id, Description, Actions (a matriz de permissões), NotActions (quaisquer negações explícitas) e AssignableScopes (onde a função pode ser usada). Propriedades opcionais ajudam a esclarecer a intenção e facilitam o gerenciamento em scripts de automação.

A matriz de permissões lista cada ação permitida, como “Microsoft.Storage/read” ou “Microsoft.KeyVault/vaults/secrets/set”. Curingas (como “*/read”) são aceitos, mas devem ser usados com moderação, como já foi abordado anteriormente.

Para validar, use o Portal do Azure, a CLI do Azure ou o PowerShell para testar e implantar seus arquivos JSON. A API do Azure também retorna JSON, permitindo que você extraia e versione definições de funções como parte dos pipelines de código de infraestrutura. Sempre revise a formatação antes de enviar alterações: um formato inválido significa erros de implantação ou, pior, lacunas de segurança causadas por atualizações que falharam.

Para equipes que automatizam em grande escala, armazenar esses arquivos JSON em sistemas de controle de versão garante que cada alteração seja rastreada, revisada e revertida, se necessário. Essa prática apoia a documentação, a reversão após erros e as verificações de conformidade com o mínimo de esforço.

Evite funções personalizadas com privilégios excessivos e mitigue riscos de segurança

O maior erro que as pessoas cometem com funções personalizadas? Tentar ser prestativo e, sem perceber, conceder permissões demais. Funções com privilégios excessivos abrem espaço para vazamentos acidentais de dados, interrupções de sistemas, escalonamento de privilégios ou simplesmente caos, quando alguém tem acesso para "excluir tudo" sem que devesse ter.

Para manter tudo seguro, sempre projete com o princípio do privilégio mínimo em mente. Comece mapeando as ações necessárias para as atividades reais de cada função e remova tudo o que for excedente. Valide cada permissão e pergunte: "Este usuário realmente precisa disso?" Use a análise integrada e as revisões de acesso do Azure para identificar atribuições arriscadas ou funções personalizadas amplas demais.

Também é inteligente auditar regularmente a "expansão de permissões", aquele acúmulo lento de direitos de acesso que acontece quando as pessoas mudam de projetos ou funções, mas mantêm o acesso antigo. Use ferramentas de governança de identidades, desative funções pouco utilizadas e garanta que nenhuma função personalizada permita que um usuário atribua a si mesmo (ou a outros) privilégios mais altos. Isso bloqueia um dos principais caminhos para o escalonamento de privilégios e mantém sua postura de segurança firme.

Se você está lidando com a proliferação de identidades e brechas de políticas arriscadas, ouça as lições sobre o ciclo de acesso condicional do Entra ID. Ele traz muitas dicas para controlar o crescimento do acesso condicional e manter o controle do seu modelo de segurança na nuvem.

Gerenciamento do ciclo de vida e estratégias de governança de funções personalizadas

Gerenciar funções personalizadas não é apenas "configurar e esquecer". Assim como qualquer ativo de TI bem gerenciado, as funções personalizadas precisam de um ciclo de vida: planejamento cuidadoso, implantação profissional, atualizações de rotina e uma desativação adequada quando deixarem de ser necessárias. Organizações com processos formais, como gestão de mudanças, fluxos de aprovação e comitês de governança de acesso, tendem a lidar melhor com as mudanças e enfrentam menos surpresas desagradáveis.

Os fluxos de aprovação garantem que as pessoas certas deem o aval antes que uma função nova ou atualizada entre em vigor. Isso é essencial para a conformidade, especialmente em setores regulados, e para identificar erros antes que se transformem em problemas de segurança. O controle de versões da documentação ajuda a acompanhar o que mudou e a manter a compatibilidade com versões anteriores, reduzindo a chance de quebrar processos dependentes quando uma função é atualizada.

Quando chegar a hora de descontinuar ou desativar uma função, programe a comunicação, teste os sistemas impactados e use migrações em etapas para as novas versões da função. Isso evita lacunas de acesso e mantém sua equipe (e os auditores) satisfeitos. Ambientes com várias plataformas devem mapear as definições de função entre elas para manter uma governança de identidade e uma aplicação de políticas consistentes.

A governança sólida é a última linha de defesa quando as coisas ficam complicadas, especialmente à medida que os ambientes se tornam mais complexos ou você adiciona automação e IA. Para organizações que gerenciam riscos em escala, estabelecer um comitê de governança ajuda a garantir que você tenha um processo de revisão, responsabilização e conformidade, independentemente das mudanças que vierem pelo caminho.

Você também deve ouvir

Se você está pesquisando funções personalizadas no Microsoft Entra ID, estes episódios trazem contexto prático sobre segurança de identidade, governança, acesso privilegiado e implementação:

• Microsoft Defender XDR – Simply Explained — Conecte a governança de identidade aos sinais de segurança, à investigação e à resposta.
• Conditional Access – Simply Explained — Entenda como os controles de acesso baseados em política aplicam as decisões de identidade.
• Privileged Identity Management – Simply Explained — Entenda privilégios sob demanda, aprovações e revisões de acesso.
• Microsoft Teams Governance – The Illusion of Control — Veja como a governança transforma permissões e propriedade em operações repetíveis.