Desmistificando o locatário do Microsoft 365: arquitetura, identidade e limites explicados

By Mirko Peters · 2026-08-27

Bem-vindo de volta ao podcast! Se você já ouviu nossos episódios sobre arquitetura de nuvem, segurança ou administração corporativa, sabe que adoramos mergulhar fundo i…

Automatically translated with AI from the original post. Read the English original

Bem-vindos de volta ao podcast! Se você já ouviu nossos episódios sobre arquitetura em nuvem, segurança ou administração corporativa, sabe que gostamos de mergulhar fundo na infraestrutura da tecnologia que usamos todos os dias. Hoje, vamos examinar de perto um dos conceitos mais fundamentais e, ao mesmo tempo, mais mal compreendidos do ecossistema de nuvem corporativa: o locatário do Microsoft 365. Seja você um administrador de TI que passa o dia inteiro no centro de administração, um profissional de segurança que projeta políticas de acesso ou um líder de negócios que se pergunta como os dados da empresa são isolados na nuvem, entender o locatário é essencial. Neste post complementar ao nosso episódio mais recente do podcast, vamos aprofundar os pilares centrais da nuvem da Microsoft. Vamos explicar o que é, de fato, um locatário do M365, como as identidades funcionam dentro dele, como as assinaturas direcionam o licenciamento e por que os limites administrativos são sua melhor defesa contra vazamento de dados e violações de segurança.

Introdução ao locatário do Microsoft 365

Para realmente entender a nuvem da Microsoft, precisamos começar do início: o locatário. Mas o que é, de fato, um locatário do Microsoft 365? Em essência, um locatário é a instância dedicada dos serviços de nuvem da Microsoft para a sua organização. Pense nele como uma fatia segura e isolada da enorme infraestrutura global de datacenters da Microsoft. Quando sua empresa assina o Microsoft 365, o Azure ou o Dynamics 365, a Microsoft provisiona um contêiner exclusivo para você. Esse contêiner abriga seus dados, suas identidades de usuário, suas configurações de serviço e suas políticas de segurança. Ele é totalmente separado de todos os outros clientes que rodam na nuvem da Microsoft, garantindo um isolamento multilocatário que atende a rigorosos padrões de conformidade.

No entanto, muitas pessoas usam, por engano, os termos "locatário", "domínio" e "assinatura" como se fossem intercambiáveis. Vamos esclarecer isso logo de início. Um locatário é o contêiner geral. Um domínio é simplesmente o namespace, como contoso.com, que você usa para os endereços de e-mail e logins dos usuários. Uma assinatura é o acordo comercial pelo qual você paga por licenças e serviços. Você pode ter vários domínios e várias assinaturas associados a um único locatário, mas o próprio locatário é o limite fundamental que amarra tudo. Uma boa forma de visualizar é comparar o locatário a uma casa: ele é a estrutura física e o terreno onde ela está, os domínios são o endereço na caixa de correio, e as assinaturas são as contas de serviços públicos que você paga para manter a luz e a água funcionando.

O papel do Microsoft Entra ID e do gerenciamento de identidades

Não dá para falar de locatário do Microsoft 365 sem falar de identidade e, especificamente, do Microsoft Entra ID, antigamente conhecido como Azure Active Directory. Se o locatário é a casa, o Microsoft Entra ID é o sistema de segurança, as fechaduras da porta da frente e o registro de todos que têm permissão para entrar. Todo locatário do Microsoft 365 vem com um diretório padrão do Microsoft Entra ID. Esse diretório é a fonte autoritativa de todas as suas contas de usuário, grupos, entidades de serviço e registros de aplicativos.

A identidade é o novo perímetro de segurança na arquitetura de nuvem moderna. Nos velhos tempos da TI local, protegíamos a rede corporativa instalando um firewall e confiando em tudo que estivesse dentro dessa rede. Na nuvem, o perímetro de rede desapareceu; seus usuários trabalham de cafeterias, escritórios domésticos e dispositivos móveis espalhados pelo mundo. Por isso, a identidade passou a ocupar o lugar do firewall. Quando um usuário tenta acessar o Exchange Online, o SharePoint ou o Microsoft Teams, o Microsoft Entra ID é o serviço que verifica quem ele é, checa quais dispositivos está usando e determina se deve receber acesso com base nas políticas de Acesso Condicional.

Gerenciar identidades de forma eficaz dentro do seu locatário exige uma estratégia clara. A maioria das organizações utiliza um modelo de identidade híbrido, sincronizando os Serviços de Domínio do Active Directory locais com o Microsoft Entra ID por meio de uma ferramenta chamada Microsoft Entra Connect ou Microsoft Entra Cloud Sync. Isso permite que os usuários mantenham um único conjunto de credenciais tanto para os recursos da rede local quanto para os serviços do Microsoft 365 baseados em nuvem. No entanto, seja qual for a origem das suas identidades, somente na nuvem ou sincronizadas de um ambiente local, gerenciar o ciclo de vida dessas identidades (provisionamento, atribuição de funções, gerenciamento de credenciais e desprovisionamento) é uma das responsabilidades mais críticas de um administrador do Microsoft 365.

Gerenciando assinaturas, licenças e faturamento

Depois de estabelecer seu locatário e suas identidades, você precisa falar sobre como paga pelos serviços que usa. É aqui que entramos no universo de assinaturas e licenciamento. No ecossistema do Microsoft 365, uma assinatura é um contrato comercial que concede à sua organização acesso a um conjunto específico de serviços em nuvem por um período determinado, normalmente com base em um modelo de preço por usuário e por mês.

É importante entender que as assinaturas estão vinculadas ao locatário. Você não pode comprar uma assinatura do Microsoft 365 Business Premium ou do Enterprise E5 e aplicá-la a um usuário de um locatário completamente diferente. Todas as licenças devem ser compradas e atribuídas dentro dos limites administrativos desse locatário específico. Além disso, as organizações costumam gerenciar várias assinaturas em um único locatário. Por exemplo, você pode ter uma assinatura para licenças do Microsoft 365 E5, outra para serviços do Azure com consumo medido e uma terceira para complementos especializados, como o Power BI Premium ou o Microsoft Copilot.

O gerenciamento de licenças pode se tornar rapidamente uma dor de cabeça administrativa se não for tratado de forma proativa. Os administradores precisam atribuir licenças a usuários ou grupos, garantindo que eles tenham acesso exatamente às ferramentas de que precisam, seja o Exchange para e-mail, o SharePoint para colaboração em documentos ou o conjunto completo de aplicativos de desktop. O licenciamento automatizado, geralmente baseado em licenciamento por grupo no Microsoft Entra ID, é uma prática recomendada para organizações em crescimento. Quando um novo usuário é adicionado ao grupo "Vendas", o sistema provisiona automaticamente as licenças adequadas e, quando essa pessoa deixa a organização e é removida do grupo, essas licenças são recuperadas e ficam disponíveis para outros usuários.

Configurando domínios personalizados e DNS

Ao criar um locatário do Microsoft 365 pela primeira vez, a Microsoft fornece um nome de domínio padrão que termina em onmicrosoft.com, por exemplo, contoso.onmicrosoft.com. Embora esse domínio seja totalmente funcional, você certamente não quer que os e-mails corporativos saiam como usuario@contoso.onmicrosoft.com. Para estabelecer uma presença de marca profissional e garantir um fluxo de e-mail e uma integração de serviços sem falhas, você precisa configurar domínios personalizados no seu locatário.

Configurar um domínio personalizado envolve comprovar à Microsoft que você realmente é o proprietário do nome de domínio que deseja usar. Isso é feito adicionando registros TXT ou MX específicos no seu provedor de hospedagem de DNS (Sistema de Nomes de Domínio), como GoDaddy, Cloudflare ou Route 53. Quando a Microsoft verificar a propriedade do seu domínio, como contoso.com, você poderá torná-lo seu domínio principal, atualizar os seus nomes principais de usuário (UPNs) para que os usuários entrem com seus endereços de e-mail profissionais e configurar os registros de DNS necessários para a entrega de e-mails (registros MX), a descoberta automática (registros CNAME) e protocolos de segurança como SPF, DKIM e DMARC.

A configuração adequada do DNS não serve apenas para transmitir profissionalismo; ela é um requisito crítico de segurança. Sem registros SPF, DKIM e DMARC configurados corretamente e associados ao seu domínio personalizado no seu locatário do M365, agentes mal-intencionados podem facilmente falsificar o domínio do seu e-mail, levando a ataques de phishing contra seus clientes e parceiros. Reserve o tempo necessário para configurar e verificar corretamente suas definições de DNS, pois essa é uma etapa essencial em qualquer projeto de implantação do Microsoft 365.

Serviços principais na nuvem e provisionamento de recursos

Com o seu locatário, o sistema de identidade, as assinaturas e os domínios personalizados configurados, o seu ambiente do Microsoft 365 finalmente está pronto para hospedar cargas de trabalho. Um locatário do Microsoft 365 não é um bloco monolítico; é um ecossistema rico de aplicativos SaaS (software como serviço) integrados, criados para impulsionar a produtividade, a colaboração e a comunicação. Entender como esses serviços de nuvem essenciais são provisionados e interagem dentro dos limites do locatário é fundamental para qualquer administrador.

O Exchange Online oferece e-mail, calendário e gerenciamento de contatos de nível empresarial. O SharePoint Online é a base para armazenamento de documentos, sites de intranet e gerenciamento de conteúdo corporativo. O Microsoft Teams reúne chat, reuniões, chamadas e colaboração em um único hub, profundamente integrado ao SharePoint, ao Exchange e a vários aplicativos de terceiros. Ao lado desses grandes serviços estão outros como o OneDrive para Empresas, o Planner, o Stream e a Power Platform (Power Apps, Power Automate e Power BI).

Quando os usuários criam uma equipe no Microsoft Teams, por trás dos panos o locatário provisiona automaticamente uma teia complexa de recursos interconectados: uma coleção de sites do SharePoint para armazenamento de arquivos, um Grupo do Microsoft 365 para gerenciamento de membros, uma caixa de correio e um calendário compartilhados do Exchange e um bloco de anotações do OneNote. Esse mecanismo de provisionamento automatizado demonstra o poder da arquitetura do M365. No entanto, ele também evidencia a importância da governança. Sem políticas de governança proativas, como restringir quem pode criar grupos do Microsoft 365 ou configurar políticas de expiração automática para equipes inativas, o seu locatário pode rapidamente se transformar em um caos de recursos não utilizados e dados redundantes.

Limites administrativos e práticas recomendadas de segurança

Ao concluirmos nossa análise aprofundada do locatário do Microsoft 365, precisamos tratar do tema mais crítico de todos: os limites administrativos e as práticas recomendadas de segurança. O locatário é o seu principal limite de segurança. Os dados dentro do locatário são criptografados em repouso e em trânsito e, por padrão, ficam totalmente inacessíveis para qualquer pessoa fora da sua organização, inclusive outros clientes da Microsoft e até mesmo o pessoal de suporte da Microsoft (a menos que o acesso temporário seja concedido explicitamente por meio do Customer Lockbox).

No entanto, a segurança não termina na fronteira do locatário; você também precisa gerenciar as permissões *dentro* do locatário. É aqui que entra o princípio do privilégio mínimo. O Microsoft Entra ID oferece uma ampla gama de funções de administrador integradas, como Administrador Global, Administrador do Exchange, Administrador de Suporte Técnico e Administrador de Usuário. Um dos erros mais comuns que as organizações cometem é atribuir a função de Administrador Global, que tem acesso total a todas as configurações e a todos os dados do locatário, a pessoas demais. As práticas recomendadas indicam que você deve limitar o número de Administradores Globais ao mínimo necessário (normalmente de dois a quatro indivíduos, para redundância) e atribuir funções mais granulares e específicas para as operações do dia a dia.

Além disso, proteger as suas contas administrativas com a autenticação multifator (MFA) não é negociável. Implementar uma MFA resistente a phishing, como chaves de segurança FIDO2 ou a correspondência de números do Microsoft Authenticator, é a medida mais eficaz para impedir o acesso não autorizado ao seu locatário. Combine isso com políticas robustas de Acesso Condicional que avaliem os níveis de risco, a conformidade dos dispositivos e a localização antes de conceder acesso, e você cria uma postura de defesa em profundidade formidável.

Por fim, a governança e o monitoramento nunca devem ser uma reflexão tardia. Utilizar ferramentas como o Microsoft Purview para conformidade, prevenção contra perda de dados (DLP) e proteção de informações garante que os dados sensíveis sejam rotulados, rastreados e protegidos durante todo o seu ciclo de vida. Auditar regularmente as atribuições de funções administrativas, revisar os logs de entrada e monitorar os alertas no portal do Microsoft Defender vai garantir que o seu locatário permaneça seguro, em conformidade e otimizado para as necessidades do seu negócio.

Obrigado por acompanhar este post, que é o complemento escrito do nosso podcast! Esperamos que este mergulho na arquitetura de locatários do Microsoft 365, no gerenciamento de identidades, nas assinaturas, nos domínios personalizados e nos limites de segurança tenha dado a você uma visão mais clara de como a nuvem funciona por trás dos panos. Se você gostou do post, não deixe de assinar o podcast, compartilhar este artigo com a sua equipe de TI e acompanhar a gente na próxima semana, quando vamos abordar outro tema empolgante do mundo da tecnologia corporativa. Até lá, mantenha seus locatários seguros e suas arquiteturas em nuvem resilientes!