Como gerenciar service principals no Entra ID de forma eficaz

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Proteja os service principals no Microsoft Entra ID para uma gestão de identidades mais segura. Saiba mais sobre os objetos de aplicativo e de service principal no seu locatário.

Automatically translated with AI from the original post. Read the English original

Gerenciar service principals e registros de aplicativos no Entra ID é fundamental para manter a segurança e o controle de acesso. Uma governança eficaz ajuda você a evitar incidentes de segurança significativos, como escalonamento de privilégios e comprometimento do locatário. Por exemplo, invasores podem explorar service principals mal gerenciados para redefinir senhas de administradores e obter acesso não autorizado a sistemas críticos. Ao adotar práticas de gestão sólidas, você reduz esses riscos e mantém o ambiente seguro. As etapas principais incluem entender os service principals, atribuir permissões adequadas e revisar regularmente as políticas de acesso.

Se você está aprendendo como gerenciar service principals no Entra ID de forma eficaz, estes fatos pouco conhecidos podem mudar a forma como você protege e opera identidades automatizadas.

1. Service principals são distintos dos objetos de aplicativo: Um objeto de aplicativo é a definição global do aplicativo; um service principal é a identidade local em um locatário. Você pode ter um objeto de aplicativo com vários service principals em locatários diferentes.
2. Eles podem ter credenciais que nunca expiram: O Entra ID permite criar segredos de cliente ou certificados sem expiração, seja por design ou por configuração incorreta, o que aumenta o risco de longo prazo caso não sejam rotacionados manualmente.
3. Identidades gerenciadas usam service principals por trás dos panos: Tanto as identidades gerenciadas atribuídas pelo sistema quanto as atribuídas pelo usuário são representadas como service principals no diretório, permitindo que políticas de RBAC e de Acesso Condicional se apliquem a elas.
4. Service principals podem ser usados no Acesso Condicional: Embora seja voltado principalmente para usuários, o Acesso Condicional pode avaliar o contexto dos aplicativos, e algumas políticas podem afetar service principals, especialmente quando combinadas com o contexto de autenticação do aplicativo.
5. Eles oferecem suporte simultâneo a permissões delegadas e de aplicativo: Um único service principal pode ter permissões delegadas (em nome de um usuário) e permissões de aplicativo (somente aplicativo), o que aumenta a complexidade na aplicação do princípio de privilégio mínimo.
6. Os logs de entrada incluem autenticações de aplicativos não interativas: O Entra ID registra as entradas de service principals, o que permite detectar atividades anômalas de aplicativos, mas esses logs costumam ser negligenciados em comparação com os logs de entrada de usuários.
7. Consentimento e gestão de direitos podem deixar caminhos de acesso ocultos: Aplicativos empresariais e service principals concedidos por meio de consentimento do administrador ou da gestão de direitos podem criar caminhos de acesso indiretos, difíceis de descobrir sem revisões minuciosas de direitos e permissões.

Principais conclusões

• Entenda a diferença entre registros de aplicativos e service principals no Entra ID.
• Certifique-se de ter as permissões corretas antes de gerenciar service principals, para evitar bloqueios.
• Siga um processo claro para registrar aplicativos no Entra ID, incluindo o preenchimento das informações necessárias.
• Use múltiplos métodos de autenticação para reforçar a segurança dos seus aplicativos.
• Implemente o Controle de Acesso Baseado em Função (RBAC) para atribuir permissões adequadas aos service principals.
• Revise regularmente as políticas de acesso para garantir que estejam alinhadas às melhores práticas de segurança.
• Realize auditorias para monitorar alterações e detectar qualquer acesso ou atividade não autorizados.
• Adote o princípio do privilégio mínimo, concedendo aos service principals apenas as permissões necessárias.

Pré-requisitos para o gerenciamento no Entra ID

Entendendo os service principals

Antes de gerenciar service principals no Entra ID, é preciso compreender alguns conceitos fundamentais. Veja os pontos-chave:

• Um registro de aplicativo (App) é um objeto globalmente exclusivo que representa um aplicativo no Entra ID.
• Um service principal (SP) é uma instância específica desse objeto de aplicativo dentro de um único locatário.
• Ao criar um registro de aplicativo, o Microsoft Entra ID gera automaticamente uma entidade de serviço no mesmo locatário.
• As entidades de serviço têm suas próprias credenciais e autorizações, que são distintas do objeto de aplicativo.
• As ações executadas em um locatário, como a criação de um usuário, são realizadas pela entidade de serviço.

O portal do Entra ID pode ser confuso. As entidades de serviço aparecem em 'Aplicativos empresariais', e o termo 'Service Principal' raramente é usado. Isso pode levar a mal-entendidos sobre a relação entre registros de aplicativo e entidades de serviço.

Permissões necessárias

Para gerenciar service principals de forma eficaz, você precisa das permissões adequadas. Veja um resumo dos pré-requisitos essenciais:

Ter essas permissões garante que você consiga executar as ações necessárias sem obstáculos. Sempre verifique se sua conta tem as permissões exigidas antes de prosseguir com registros de aplicativos ou atribuições de funções.

Ao entender esses pré-requisitos, você cria uma base sólida para gerenciar entidades de serviço no Entra ID. Esse conhecimento ajudará você a lidar com a complexidade do gerenciamento de acesso e a fortalecer a postura de segurança da sua organização.

Registro de aplicativo no Entra ID

Etapas para registrar um aplicativo

Registrar um aplicativo no Entra ID é um processo simples. Siga estas etapas para começar:

1. Entre no portal do Entra ID: use sua conta do Microsoft Entra para acessar o portal.
2. Acesse Registros de aplicativo: no menu à esquerda, selecione "Registros de aplicativo".
3. Clique em Novo registro: essa opção permite criar um novo aplicativo.
4. Preencha os detalhes do aplicativo:
   • Nome: escolha um nome exclusivo para seu aplicativo.
   • Tipos de conta com suporte: selecione quem pode usar o aplicativo (por exemplo, somente contas deste diretório organizacional).
   • URI de redirecionamento: especifique o URI para onde os usuários serão redirecionados após a autenticação. Isso é essencial para aplicativos da web.
5. Revise e registre: depois de preencher as informações necessárias, clique em "Registrar" para criar o aplicativo.

Depois de registrado, você pode criar até 50.000 recursos do Microsoft Entra em um único locatário com a edição gratuita. Se você verificar seu domínio, esse limite pode aumentar para 300.000 recursos. Você também pode configurar credenciais para no máximo 48 aplicativos usando single sign-on baseado em senha.

Configurando as definições do aplicativo

Depois de registrar seu aplicativo, é preciso configurar suas definições para segurança e funcionalidade ideais. Estas são algumas práticas recomendadas a seguir:

1. Configure vários métodos de autenticação do Entra ID: use diversos métodos de autenticação, como a autenticação multifator (MFA) e a autenticação sem senha, para reforçar a segurança.
2. Use grupos do Entra ID para atribuir permissões: crie grupos de usuários para gerenciar o controle de acesso com eficiência. Isso garante que os usuários tenham apenas as permissões necessárias.
3. Use políticas de Acesso Condicional (CAP): implemente CAPs para definir condições de acesso aos recursos. Isso adiciona uma camada extra de segurança por meio de controle granular.

Além disso, considere fazer um inventário de aplicativos. Identifique e catalogue todos os aplicativos conectados ao Entra para uma gestão eficaz. Avalie regularmente as permissões atribuídas a cada aplicativo para embasar sua estratégia de segurança. Desprovisione os aplicativos não utilizados para reduzir a sua superfície de ataque.

Seguindo essas etapas e práticas recomendadas, você pode garantir que o seu aplicativo esteja bem configurado e seguro no Entra ID.

Atribuição de funções para entidades de serviço

Visão geral do RBAC

O controle de acesso baseado em funções (RBAC, Role-Based Access Control) é um recurso essencial no Entra ID. Ele ajuda você a gerenciar quem pode acessar quais recursos dentro da sua organização. Com o RBAC, você pode atribuir funções a entidades de serviço, garantindo que elas tenham as permissões certas para executar suas tarefas sem comprometer a segurança.

No Entra ID, há dois tipos de definições de função:

• Funções integradas: Vêm com um conjunto fixo de permissões. Não é possível modificá-las, mas elas cobrem cenários comuns.
• Funções personalizadas: Permitem adaptar as permissões às necessidades específicas. Criar uma função personalizada envolve um processo em duas etapas: definir a função e atribuí-la.

Entender esses tipos de função ajuda você a escolher a abordagem certa para os seus aplicativos. Para mais informações sobre RBAC, você pode consultar a visão geral do controle de acesso baseado em funções.

Atribuição de funções

Atribuir funções a entidades de serviço é essencial para uma gestão eficaz. Siga estas etapas para atribuir funções corretamente:

1. Criar atribuições de função: Use o centro de administração do Microsoft Entra, o Microsoft Graph PowerShell ou a API do Microsoft Graph. Observe que a CLI do Azure não é compatível com essa tarefa.
2. Registrar seu aplicativo: Certifique-se de ter registrado um aplicativo do Microsoft Entra e criado uma entidade de serviço pelo portal do Azure.
3. Escolher a função certa: Revise as funções disponíveis para determinar qual delas oferece as permissões necessárias para o seu aplicativo.

Aqui está uma tabela de referência rápida que resume o processo de atribuição de funções:

Seguindo essas etapas, você pode garantir que suas entidades de serviço tenham o acesso apropriado para executar suas funções com segurança. A atribuição correta de funções não só aumenta a segurança, como também otimiza as operações dentro da sua organização.

Métodos de autenticação para o Entra ID

Visão geral da autenticação

Ao gerenciar entidades de serviço no Entra ID, você tem dois métodos de autenticação principais à escolha: autenticação por segredo de cliente e autenticação baseada em certificado. Cada método tem suas próprias vantagens e casos de uso.

Autenticação por segredo de cliente

A autenticação por segredo de cliente envolve o uso de uma string semelhante a uma senha, conhecida como segredo de cliente. Esse método é simples e costuma ser usado em aplicativos que exigem uma configuração rápida. No entanto, é essencial tratar os segredos de cliente como senhas. Você deve armazená-los com segurança e renová-los regularmente para manter a proteção.

• Prós:

  • Fácil de implementar.
  • Adequado para ambientes de teste e desenvolvimento.

• Contras:

  • Menos seguro do que a autenticação baseada em certificado.
  • Vulnerável a exposição se não for gerenciado corretamente.

Autenticação baseada em certificado

A autenticação baseada em certificado usa um certificado digital para autenticar a entidade de serviço. Esse método é mais seguro do que os segredos de cliente e é recomendado para ambientes de produção. Você deve usar um certificado confiável emitido por uma autoridade certificadora (CA) para obter a segurança ideal. Certificados autoassinados podem ser usados para testes, mas não são recomendados para produção.

• Prós:

  • Maior nível de segurança.
  • Reduz o risco de roubo de credenciais.

• Contras:

  • Mais complexo de configurar.
  • Exige gerenciamento de certificados.

Configurando a autenticação

Para configurar a autenticação da sua entidade de serviço no Entra ID, siga estas etapas:

1. Abra a página inicial do Centro de administração do Microsoft Entra.
2. Acesse Entra ID > Registros de aplicativos e, em seguida, selecione seu aplicativo.
3. Na página de visão geral do aplicativo, copie o valor de ID do diretório (locatário) e armazene-o no código do seu aplicativo.
4. Copie o valor de ID do aplicativo (cliente) e armazene-o no código do seu aplicativo.
5. Escolha entre autenticação baseada em certificado ou em segredo do cliente. Recomenda-se carregar um certificado confiável emitido por uma autoridade certificadora.
6. Se usar um certificado, carregue-o em Entra ID > Registros de aplicativos > Certificados e segredos > Carregar certificado.
7. Se usar um segredo do cliente, crie-o em Entra ID > Registros de aplicativos > Certificados e segredos > Segredos do cliente > Novo segredo do cliente.

Seguindo estas etapas, você garante que sua entidade de serviço esteja autenticada com segurança, podendo acessar os recursos de que precisa e minimizando os riscos de segurança.

Políticas de acesso no Entra ID

Entendendo as políticas de acesso

As políticas de acesso no Entra ID desempenham um papel fundamental na proteção dos seus aplicativos e dados. Essas políticas definem quem pode acessar quais recursos e em quais condições. Veja a seguir alguns tipos-chave de políticas de acesso que você deve conhecer:

• Exigir MFA para entradas de risco: esta política solicita que os usuários concluam a autenticação multifator quando uma tentativa de entrada parecer suspeita.
• Bloquear ou remediar contas comprometidas: esta política restringe automaticamente o acesso a contas que apresentam sinais de comprometimento.

Implementar essas políticas de acesso fortalece a sua postura de segurança. Elas ajudam você a gerenciar riscos com eficiência, automatizando respostas a possíveis ameaças. Por exemplo, as políticas de Acesso Condicional avaliam fatores como identidade do usuário, conformidade do dispositivo e sinais de risco em tempo real antes de conceder acesso. Essa abordagem proativa não apenas melhora a segurança, mas também garante a conformidade com os padrões organizacionais.

Configurando políticas de acesso

Configurar políticas de acesso para entidades de serviço no Entra ID é simples. Siga estas etapas para definir suas políticas com eficiência:

1. Entre no Centro de administração do Microsoft Entra e acesse Entra ID » Aplicativos empresariais.
2. Clique na entidade de serviço que você deseja restringir e acesse Propriedades em Gerenciar.
3. Defina Habilitado para os usuários fazerem logon? como Não e clique em Salvar para desabilitar o logon de usuários no aplicativo.
4. Para criar uma política de Acesso Condicional, entre no Centro de administração do Microsoft Entra e acesse Entra ID » Acesso Condicional.
5. Clique em +Criar nova política e informe um nome para a política.
6. Em Atribuições, acesse Usuários ou identidades de carga de trabalho.
7. Selecione Identidades de carga de trabalho em Esta política se aplica a. Em Incluir, clique em Selecionar entidades de serviço e escolha as entidades de serviço apropriadas na lista.
8. Na seção Recursos de destino, acesse Incluir e selecione Todos os recursos (anteriormente 'Todos os aplicativos de nuvem').
9. Na seção Condições, configure requisitos específicos para determinar quando a política deve ser acionada.
10. Em Controles de acesso, acesse 'Conceder', selecione Bloquear acesso e clique em 'Selecionar'.
11. Defina Habilitar política como Ativada e clique em 'Criar' para criar uma política de Acesso Condicional para identidades de carga de trabalho do Microsoft Entra.

Seguindo esses passos, você pode garantir que suas entidades de serviço operem sob controles de acesso rigorosos. Isso não só protege seus recursos como também está alinhado às melhores práticas de segurança e conformidade.

Melhores práticas para entidades de serviço

Recomendações de segurança

Para proteger suas entidades de serviço no Entra ID, siga estas recomendações de segurança:

• Use certificados de cliente em vez de segredos de cliente para uma segurança melhor.
• Utilize o Azure Key Vault para gerenciar certificados e segredos com segurança.
• Implemente o acesso com privilégio mínimo para entidades de serviço. Isso significa conceder apenas as permissões necessárias para suas tarefas.
• Monitore os logons de entidades de serviço por meio dos logs de entrada do Microsoft Entra. Isso ajuda você a detectar atividades incomuns.
• Use o Acesso Condicional para restringir o acesso a partir de locais não confiáveis. Isso adiciona uma camada extra de segurança.
• Revise regularmente a associação às funções de Nível 0 para garantir níveis de privilégio adequados. Isso evita acessos não autorizados a recursos críticos.

Ao adotar essas práticas, você pode aumentar significativamente a segurança de suas entidades de serviço e reduzir o risco de acesso não autorizado.

Auditorias regulares

Realizar auditorias regulares é essencial para manter a segurança e a integridade de suas entidades de serviço. Aqui estão algumas práticas comuns de auditoria que você deve implementar:

As auditorias regulares ajudam você a manter-se informado sobre o status de suas entidades de serviço. Elas permitem identificar cedo quaisquer alterações não autorizadas ou atividades suspeitas, garantindo que seu ambiente permaneça seguro.

Seguindo essas melhores práticas, você pode gerenciar com eficácia suas entidades de serviço no Entra ID, reforçando a segurança e a conformidade.

Em resumo, gerenciar com eficácia as entidades de serviço no Entra ID envolve várias etapas-chave e melhores práticas. Você deve:

• Registrar os aplicativos corretamente e configurar suas definições.
• Atribuir funções com base no princípio do privilégio mínimo.
• Implementar métodos de autenticação robustos.
• Revisar regularmente as políticas de acesso e as permissões.

A gestão contínua é fundamental. A conveniência do autoatendimento aumenta a necessidade de uma gestão de acesso mais eficiente. Revisões regulares ajudam a manter o controle sobre os direitos de acesso. Cada conta de convidado deve ter um proprietário interno responsável por justificar o acesso continuamente. Ao adotar essas estratégias, você pode reforçar a segurança e garantir a governança eficaz de suas entidades de serviço.

Este checklist ajuda você a implementar as melhores práticas para gerenciar com eficácia entidades de serviço no Entra ID.

• Inventário e descoberta: identifique todas as entidades de serviço em todos os locatários e assinaturas (crie uma verificação/relatório recorrente).
• Mapeamento para aplicativos e proprietários: vincule cada entidade de serviço ao seu aplicativo correspondente, ao proprietário de negócio e ao contato de suporte.
• Classificação de acesso e finalidade: documente a finalidade, o ambiente (produção/desenvolvimento/teste) e as permissões necessárias para cada entidade de serviço.
• Privilégio mínimo: audite as funções e permissões atribuídas; remova ou reduza as permissões ao mínimo necessário.
• Prefira identidades gerenciadas: substitua registros de aplicativo/entidades de serviço por identidades gerenciadas sempre que possível para recursos do Azure.
• Higiene de credenciais: evite credenciais de longa duração; prefira certificados a segredos de cliente e renove as credenciais regularmente.
• Impor políticas de credenciais: implemente o acesso condicional e as políticas de senha/segredo do Azure AD para credenciais de aplicativos, quando aplicável.
• Exigir MFA/acesso condicional para uso interativo: bloqueie ou restrinja credenciais que permitem entrada interativa, a menos que sejam necessárias e estejam protegidas.
• Habilitar acesso Just-In-Time (JIT) ou com prazo definido: conceda funções de alto privilégio às entidades de serviço por tempo limitado, sempre que possível.
• Convenções de nomenclatura e metadados: aplique padrões claros de nomenclatura e marque as entidades de serviço com metadados de ambiente, proprietário e expiração.
• Políticas de expiração e ciclo de vida: defina expiração para segredos/certificados e automatize o ciclo de vida (provisionar, renovar, revogar e desprovisionar).
• Desabilitar entidades de serviço não utilizadas: desabilite ou exclua entidades de serviço que não tenham sido usadas em um período definido, após confirmação com os proprietários.
• Monitorar entradas e uso de risco: habilite o registro em log e alertas para entradas anômalas, atividades de alto risco e escalonamentos de privilégio.
• Registro centralizado e integração com SIEM: envie logs de auditoria, eventos de entrada e alterações de provisionamento para o seu SIEM, para correlação e retenção.
• Revisões de acesso e auditorias periódicas: realize revisões regulares de acesso para validar a necessidade e a aprovação do proprietário de cada entidade de serviço.
• Proteger APIs e permissões: use permissões delegadas com escopo limitado ou escopos somente de aplicativo, claramente definidos.
• Armazenamento seguro de segredos: guarde segredos de cliente e certificados no Azure Key Vault ou em cofre equivalente; restrinja o acesso ao cofre apenas às entidades necessárias.
• Remediação automatizada: implemente playbooks automatizados para desabilitar entidades de serviço comprometidas ou expiradas e para rotacionar credenciais.
• Aplicação de políticas: use o Acesso Condicional do Azure AD / Microsoft Entra ID, o gerenciamento de permissões do Microsoft Entra e o Azure Policy para impor os padrões.
• Documentação e runbooks: mantenha runbooks para os procedimentos de provisionamento, rotação de credenciais de emergência e desprovisionamento.
• Testar acesso e failover: valide os fluxos de autenticação dos aplicativos após a rotação de credenciais ou alterações de configuração em um ambiente que não seja de produção.
• Onboarding/offboarding seguros: integre o provisionamento e o desprovisionamento de entidades de serviço aos processos de CI/CD e de controle de mudanças.
• Contas de serviço para automação com privilégio mínimo: use entidades de serviço dedicadas para tarefas de automação, com direitos estritamente delimitados e propriedade explícita.
• Revisar acesso externo/de convidados: audite as entidades de serviço criadas por aplicativos externos e conceda acesso somente após revisão de segurança.
• Manter evidências de conformidade: registre aprovações, revisões e eventos de rotação para comprovar a conformidade com requisitos internos e externos.
• Capacitar equipes e proprietários: oriente os proprietários de aplicativos e os desenvolvedores sobre como gerenciar entidades de serviço no Entra ID de forma eficaz e sobre práticas seguras de credenciais.

Perguntas frequentes: recursos adicionais sobre entidades de serviço do Microsoft Entra ID

O que é uma entidade de serviço do Microsoft Entra ID e em que ela difere de um objeto de aplicativo?

Uma entidade de serviço do Microsoft Entra ID é a representação local de uma instância de aplicativo em um locatário ou diretório. Ela é criada em cada locatário onde o aplicativo é usado e faz referência ao objeto de aplicativo globalmente exclusivo (o objeto de aplicativo fica no locatário de origem). O objeto de aplicativo define o aplicativo globalmente, enquanto a entidade de serviço define a política de acesso e o que aquele aplicativo pode fazer em determinado locatário.

Como as entidades de serviço são criadas e quando uma entidade de serviço é criada?

Uma entidade de serviço normalmente é criada automaticamente quando você registra um aplicativo no Microsoft Entra e uma instância desse aplicativo passa a ser usada em um locatário, ou quando um usuário consente com permissões para um aplicativo multilocatário. Você também pode criá-la manualmente pelo portal do Azure, pelo Microsoft Graph ou por automação, quando o aplicativo é implantado em um locatário em que precisa acessar recursos protegidos.

Quais são as melhores práticas para proteger entidades de serviço no Microsoft Entra?

Proteja as entidades de serviço atribuindo permissões com privilégio mínimo, rotacionando e protegendo credenciais (senhas e certificados), usando identidades gerenciadas sempre que possível, aplicando políticas de acesso condicional, monitorando logs de entrada e de auditoria e excluindo entidades de alto risco por meio de controles de acesso baseados em filtros. Use o acesso condicional para exigir dispositivos em conformidade ou MFA no acesso a recursos sensíveis.

Como gerencio credenciais, como senhas e certificados, das entidades de serviço?

Armazene senhas e certificados em um repositório seguro (Key Vault), defina políticas de expiração, use autenticação baseada em certificado sempre que possível e automatize a rotação usando o Microsoft Graph ou pipelines de CI/CD. Para credenciais de longa duração, implemente alertas para expirações próximas e aplique esquema e política para evitar segredos desatualizados ou inseguros.

Como posso usar o Microsoft Graph para consultar e gerenciar entidades de serviço com automação?

Use a API do Microsoft Graph para listar, filtrar, criar, atualizar e remover objetos de entidade de serviço do Microsoft Entra ID. Você pode fazer consultas com filtros para encontrar entidades de serviço por appId, displayName ou proprietário, gerenciar as permissões consentidas, atribuir proprietários e automatizar a sincronização de entidades de serviço entre ambientes com scripts ou conectores que referenciem os identificadores globalmente exclusivos.

Qual é o papel da atribuição de proprietários e como a propriedade deve ser gerenciada?

Atribuir proprietários oferece controle administrativo delegado sobre uma entidade de serviço, permitindo que os proprietários gerenciem credenciais e permissões. Use acesso baseado em funções e vários proprietários para garantir a continuidade do negócio, audite as alterações de proprietário e evite atribuir direitos de proprietário a contas de usuário que não estejam vinculadas a uma identidade de longo prazo; prefira uma equipe ou uma conta de serviço sujeita a políticas.

Como a sincronização e as considerações sobre locatário ou diretório afetam as entidades de serviço?

Cenários de sincronização, como a sincronização de aplicativos corporativos ou identidades entre locatários, podem criar entidades de serviço nos locatários de destino. Entenda se o aplicativo é de locatário único ou multilocatário, qual é o locatário principal onde o aplicativo foi registrado e se um usuário desse locatário precisa dar consentimento. Planeje a sincronização para evitar entidades de serviço duplicadas e use filtros para excluir objetos desnecessários.

Quando devo usar uma identidade gerenciada em vez de uma entidade de serviço criada?

Use identidades gerenciadas quando a carga de trabalho for executada no Azure e puder aproveitar uma identidade gerenciada pela plataforma para obter tokens sem credenciais incorporadas. Identidades gerenciadas reduzem a necessidade de gerenciar senhas, simplificam as atualizações de segurança e são a opção recomendada para proteger entidades de serviço em cenários da Microsoft onde houver suporte.

Como posso auditar e solucionar problemas de acesso a recursos protegidos por entidades de serviço?

Ative e revise os logs de entrada e os logs de auditoria no Microsoft Entra ID e no Azure AD, use o Microsoft Graph para recuperar eventos, aplique filtros para refinar os resultados e integre os logs com um SIEM. Para suporte técnico ou problemas complexos, reúna o objectId e o appId da entidade de serviço, os carimbos de data e hora e as mensagens de erro antes de entrar em contato com o suporte ou consultar o Microsoft Learn e outros recursos para orientar a investigação.