Como encontrar e auditar locatários de shadow IT no Microsoft Entra ID

By Mirko Peters · 2026-10-25

Saiba como encontrar e auditar locatários de shadow IT esquecidos no Microsoft Entra ID usando sinais de descoberta automatizada e estratégias de governança multilocatário.

Automatically translated with AI from the original post. Read the English original

Saiba como identificar, rastrear e proteger locatários de shadow IT esquecidos do Microsoft Entra que sua organização criou sem intenção. Este guia explora os sinais de descoberta automatizada, a análise de locatários relacionados e as etapas de governança necessárias para mapear ambientes de nuvem não gerenciados e colocá-los sob controle central.

Principais conclusões

• As organizações costumam acumular vários locatários do Microsoft Entra por meio de fusões, subsidiárias, ambientes de teste e shadow IT departamental.
• Locatários não gerenciados, que operam fora da supervisão da TI central, criam pontos cegos críticos de segurança e riscos de conformidade.
• O Microsoft Entra usa atividade business-to-business, registros de aplicativos multilocatário e contas de faturamento compartilhadas para identificar locatários relacionados automaticamente.
• Estabelecer relações de governança formais permite que organizações matrizes protejam locatários separados sem forçar migrações complexas imediatas.
• O monitoramento de configuração garante que seu ambiente multilocatário mantenha as linhas de base de segurança em mais de 200 tipos de recursos.

O risco oculto dos locatários de shadow IT

Existe um risco escondido em quase toda implantação grande do Microsoft 365 que raramente é discutido durante as revisões de segurança padrão. As empresas costumam presumir que sua presença na nuvem está restrita a um único diretório. Na prática, as organizações acabam, sem perceber, com vários locatários do Microsoft Entra sob sua responsabilidade. Quando departamentos, funcionários individuais ou equipes externas de projeto criam rapidamente um piloto, uma demonstração de produto ou um ambiente de teste usando um cartão corporativo, nasce um locatário novo.

A Microsoft classifica esses ambientes isolados como locatários de shadow IT porque a TI central não os administra e, com frequência, nem sabe que existem. Enquanto as equipes de segurança gastam milhões defendendo a entrada principal contra invasores externos, senhas roubadas e campanhas sofisticadas de phishing, uma porta lateral pode estar totalmente escancarada por meio de um locatário de teste esquecido, criado dois anos atrás. Um invasor não precisa romper defesas intensamente monitoradas quando um locatário de shadow IT sem correções e sem monitoramento está em execução em segundo plano, sem nenhuma supervisão administrativa.

O perigo não é apenas teórico. Um locatário que ninguém administra pode facilmente ser configurado de forma incorreta, expondo dados sensíveis da empresa a partes não autorizadas. Como esses ambientes ficam fora dos processos padrão de provisionamento e auditoria, eles nunca aparecerão nas suas revisões trimestrais de acesso. Quando um auditor externo perguntar quem pode acessar um conjunto específico de arquivos corporativos, um dar de ombros não vai satisfazer os requisitos regulatórios. Você só consegue proteger aquilo que consegue enxergar e, neste momento, é provável que o seu inventário de ativos esteja incompleto.

Como o Microsoft Entra revela locatários esquecidos

Felizmente, a Microsoft oferece mecanismos integrados para localizar esses ambientes ocultos, analisando sinais de conexão que o seu ecossistema vem gerando desde sempre. Esse recurso depende da descoberta de locatários relacionados, em vez de obrigar os administradores a compilar manualmente uma lista impossível de todos os ativos digitais já registrados pelos funcionários.

Sinais de atividade business-to-business

O primeiro sinal importante usado para descobrir locatários é a atividade business-to-business (B2B). O Microsoft Entra analisa continuamente os logins de convidados, os registros de convidados externos e os fluxos de acesso administrativo que trafegam entre o seu diretório principal e ambientes externos. Se usuários da sua organização estiverem colaborando ativamente com um locatário desconhecido, essa conexão cruzada fica registrada como uma conexão mensurável.

Registros de aplicativos multilocatário

Arquiteturas modernas de nuvem dependem fortemente de aplicativos que atravessam as fronteiras organizacionais. O segundo sinal de descoberta monitora os registros de aplicativos multilocatário. Isso inclui aplicativos personalizados ou comerciais registrados no seu locatário principal que acessam diretórios externos, além de aplicativos de terceiros de locatários externos que mantêm permissões ativas e tokens de API dentro do seu ambiente. Essas pontes programáticas deixam um rastro de auditoria claro.

Contas de faturamento compartilhadas

Talvez o vetor de descoberta mais surpreendente seja o faturamento. Dois locatários separados do Microsoft Entra podem estar estruturalmente conectados por nenhum outro motivo além de uma conta de faturamento do Azure compartilhada ou de uma estrutura de contrato corporativo. Ninguém precisa enviar um convite, e nenhum usuário precisa fazer login manualmente através das fronteiras. Se um locatário não gerenciado estiver pagando por serviços do Azure por meio do seu perfil de faturamento corporativo, ou vice-versa, a conexão fica imediatamente visível para a estrutura de governança.

Trazendo locatários não gerenciados para a governança central

Depois que a descoberta apresentar uma lista de locatários relacionados, os administradores precisam decidir quais ambientes manter, quais desativar e como governar os que permanecerem. Em vez de passar por um projeto de migração de locatário disruptivo e de vários anos, as organizações podem estabelecer uma relação formal de governança.

Uma relação de governança é um vínculo direcional em que um locatário pai governa e o locatário subsidiário é governado. Fundamentalmente, isso não é uma fusão técnica completa: o locatário governado mantém seus próprios usuários, dados e cargas de trabalho localizadas. A configuração envolve um aperto de mãos seguro em três etapas:

• O locatário que precisa ser governado envia um convite administrativo ao locatário pai.
• O locatário pai responde com uma solicitação contendo um modelo de política que define as permissões administrativas permitidas.
• O locatário filho analisa e aceita o modelo de política, colocando o vínculo de gerenciamento seguro em funcionamento.

Essa estrutura permite que os administradores de TI gerenciem vários ambientes a partir de um único painel, usando contas do locatário governante. Ela elimina o pesadelo de segurança de manter credenciais administrativas separadas e desconectadas em dezenas de portais de locatário individuais.

Monitorando e protegendo seu ecossistema multilocatário

As relações de descoberta e governança são apenas o começo. Para garantir que o shadow IT não volte a se infiltrar na sua organização, você precisa implementar monitoramento ativo de configuração e controles de criação seguros.

O monitoramento de configuração permite que os administradores definam uma linha de base das configurações esperadas e façam um instantâneo contínuo do ambiente de nuvem real. Um monitor automatizado compara os dois a cada seis horas, em mais de 200 tipos de recursos que abrangem Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview e Microsoft Defender. Se ocorrer um desvio, as equipes de segurança são alertadas imediatamente.

Além disso, os controles seguros de criação de locatários permitem que as organizações restrinjam quem pode criar um novo locatário do Microsoft Entra. Qualquer locatário recém-aprovado pode ser automaticamente vinculado a uma relação de governança desde o início, garantindo que nenhum novo ambiente de nuvem comece o seu ciclo de vida completamente sem gerenciamento.

Conclusão

Locatários de shadow IT não gerenciados representam uma ameaça silenciosa para a segurança corporativa, a privacidade de dados e a postura de conformidade. Ao aproveitar os sinais de descoberta integrados do Microsoft Entra, estabelecer relações formais de governança e aplicar monitoramento contínuo de configuração, os líderes de TI finalmente podem ganhar visibilidade total sobre a extensa presença em nuvem da sua organização. Para aprofundar este tema e ouvir a opinião de especialistas sobre administração moderna de nuvem, não deixe de ouvir o episódio completo do podcast M365 FM.

Perguntas frequentes

O que é um locatário de shadow IT no Microsoft Entra?

Um locatário de shadow IT é um ambiente do Microsoft Entra não gerenciado, criado por funcionários, departamentos ou equipes de projeto sem o conhecimento ou a supervisão da TI central. Esses ambientes frequentemente executam cargas de trabalho de teste, pilotos ou demonstrações fora das linhas de base de segurança corporativas.

Como o Microsoft Entra descobre locatários desconhecidos?

O Microsoft Entra descobre locatários relacionados ao analisar sinais de conexão existentes, incluindo atividade de convidados de business-to-business, permissões de aplicativos de vários locatários e contas de faturamento compartilhadas ou contratos corporativos.

Um relacionamento de governança exige uma migração completa de locatário?

Não. Um relacionamento de governança estabelece um vínculo de gerenciamento seguro e direcional entre um locatário pai e um locatário filho, sem que você precise migrar usuários, caixas de correio ou dados para um único diretório.

Com que frequência o monitoramento de configuração verifica as configurações do locatário?

O monitoramento de configuração compara automaticamente o seu ambiente de nuvem real com as suas linhas de base de política definidas a cada seis horas, em centenas de tipos de recursos.