Microsoft Entra ID explicado: a base de identidade para o Microsoft 365 e o Azure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

Entenda o Microsoft Entra ID, antigo Azure AD: usuários, grupos, aplicativos, SSO, MFA, Acesso Condicional e gerenciamento de identidades no Microsoft 365 e no Azure.

Automatically translated with AI from the original post. Read the English original

Bem-vindos de volta, ouvintes e leitores, a mais um mergulho profundo no mundo da infraestrutura em nuvem e da segurança corporativa. No nosso episódio mais recente do podcast, abordamos um dos temas mais críticos da TI moderna: a gestão de identidades e de acessos. Mais especificamente, focamos no Microsoft Entra ID, antigamente conhecido como Azure Active Directory (Azure AD), e em como ele é a base absoluta de tudo o que você faz no Microsoft 365, no Azure e em milhares de aplicativos SaaS (software como serviço) externos.

Se você atua em TI há algum tempo, provavelmente se lembra da época em que a identidade estava associada a um servidor físico instalado em uma sala de servidores, rodando o Windows Server Active Directory. Quando as organizações começaram a migrar para a nuvem, esse paradigma mudou por completo. A segurança baseada em perímetro tornou-se obsoleta quase da noite para o dia. Hoje, o perímetro de rede não é mais definido por firewalls e endereços IP; ele é definido pela identidade. O Microsoft Entra ID é o orquestrador desse novo perímetro. Neste post completo, que complementa o episódio, vamos aprofundar os conceitos centrais que discutimos no programa, detalhando usuários, grupos, gerenciamento de aplicativos, mecânicas de autenticação e governança, para que você possa proteger e otimizar o ambiente de nuvem da sua organização.

Introdução ao Microsoft Entra ID e à identidade moderna

Para realmente entender o Microsoft Entra ID, precisamos primeiro compreender a filosofia da gestão de identidades moderna. Na era legada da infraestrutura local, os usuários faziam login em um computador ingressado no domínio e conectado fisicamente à rede local (LAN) corporativa. O Active Directory verificava quem eles eram, e o acesso era concedido em grande parte com base em o tráfego ter origem dentro dos limites da empresa.

O ambiente de trabalho moderno é muito diferente. Os funcionários trabalham de casa, de cafeterias, de aeroportos e de escritórios de clientes, usando notebooks, tablets e smartphones. Eles acessam recursos hospedados não apenas em datacenters locais, mas em várias nuvens públicas e em plataformas SaaS de terceiros, como Salesforce, ServiceNow e Zoom. Nesse mundo descentralizado, a identidade é o novo plano de controle de segurança.

O Microsoft Entra ID é um serviço de gerenciamento de identidades e acessos (IAM) baseado em nuvem, projetado para proteger e gerenciar identidades em ambientes híbridos e multinuvem. Ele não é simplesmente uma versão em nuvem do Windows Server Active Directory: foi criado desde o início especificamente para cargas de trabalho em nuvem em escala de internet, protocolos de autenticação baseados na web e integrações orientadas a APIs. Seja um funcionário que faz login no Microsoft 365 para verificar o Outlook, cria uma máquina virtual no Azure ou se autentica em um aplicativo externo de RH, o Microsoft Entra ID valida quem ele é, avalia o risco da conexão e aplica as políticas da organização em milissegundos.

Componentes principais: usuários, grupos e dispositivos

No nível fundamental, o Microsoft Entra ID gira em torno de três objetos principais: usuários, grupos e dispositivos. Dominar a forma como esses três elementos interagem é o primeiro passo para construir um diretório escalável e seguro.

Gerenciando usuários na nuvem

Os usuários no Entra ID representam identidades individuais que precisam de acesso aos recursos da organização. Podem ser funcionários internos, prestadores de serviço externos, organizações parceiras ou até contas de serviço e aplicativos automatizados (frequentemente chamados de entidades de serviço ou identidades gerenciadas). O ciclo de vida dos usuários precisa ser gerenciado com cuidado: desde o provisionamento na contratação, passando por mudanças de função durante o vínculo, até a desativação imediata no momento do desligamento.

As organizações normalmente adotam um de dois modelos para a gestão de usuários:

• Identidades somente em nuvem: criadas e gerenciadas inteiramente no Entra ID. Isso é comum em startups "nascidas na nuvem" ou em contas de convidados específicas.
• Identidades híbridas: sincronizadas a partir de um ambiente Active Directory local, usando uma ferramenta chamada Microsoft Entra Connect (ou Entra Cloud Sync). Isso permite que as organizações mantenham seus controladores de domínio legados e, ao mesmo tempo, estendam de forma transparente as identidades dos usuários para a nuvem, possibilitando uma experiência de login único (SSO).

O poder dos grupos

Atribuir permissões e aplicativos a usuários individuais rapidamente se torna um pesadelo administrativo. É aqui que os grupos entram em cena. O Entra ID oferece suporte a dois tipos principais de grupos:

• Grupos atribuídos (estáticos): Os administradores adicionam e removem membros manualmente. Isso é adequado para equipes pequenas e que não mudam com frequência, mas não escala bem.
• Grupos dinâmicos: Com base em regras que usam atributos do usuário (como departamento, cargo ou localização do escritório), o Entra ID adiciona e remove usuários dos grupos automaticamente. Por exemplo, você pode criar uma regra em que qualquer usuário cujo departamento seja igual a "Vendas" seja adicionado automaticamente à lista de distribuição global de Vendas e ao grupo de segurança correspondente. Isso reduz drasticamente a sobrecarga administrativa e minimiza o risco de erro humano durante as mudanças de funcionários.

Dispositivos como cidadãos de primeira classe

No modelo de TI tradicional, os dispositivos eram pontos de acesso passivos. No Entra ID, os dispositivos são reconhecidos como componentes críticos do ecossistema de identidade. Os dispositivos podem ser registrados, ingressados ou ingressados híbridos no Microsoft Entra. Ao registrar ou ingressar dispositivos no Entra ID, as organizações ganham visibilidade profunda sobre o hardware que acessa dados corporativos. Isso permite que os administradores apliquem políticas como: "Você pode acessar o Microsoft 365, mas somente se o dispositivo de onde está fazendo login for de propriedade da empresa, estiver criptografado e estiver em conformidade com as linhas de base de segurança de endpoints."

Gerenciando aplicativos empresariais e integrações SaaS

Um dos recursos mais poderosos do Microsoft Entra ID é sua capacidade de atuar como provedor de identidade (IdP) para milhares de aplicativos em nuvem pré-integrados por meio da galeria de aplicativos do Entra. Seja sua organização usando Adobe, Zoom, Workday ou aplicativos web internos desenvolvidos sob medida, o Entra ID centraliza o acesso aos aplicativos.

Aplicativos empresariais versus registros de aplicativos

Ao trabalhar com aplicativos no Entra ID, é fundamental entender a diferença entre Aplicativos empresariais e Registros de aplicativos:

• Aplicativos empresariais: São as representações locais (ou entidades de serviço) de aplicativos configurados para confiar no Entra ID para logon único. É aqui que os administradores de TI atribuem usuários e grupos, configuram políticas de acesso condicional para aplicativos específicos e gerenciam o provisionamento de usuários.
• Registros de aplicativos: Representam a definição global de um aplicativo que está sendo desenvolvido por equipes de desenvolvedores na sua organização. Definem como o aplicativo se integra à plataforma de identidade da Microsoft, quais permissões ele exige e quais segredos de autenticação ou certificados ele utiliza.

Logon único (SSO) e federação

Já passou o tempo em que os usuários precisavam memorizar uma dúzia de senhas diferentes para uma dúzia de aplicativos de trabalho. O Entra ID oferece suporte a protocolos de autenticação modernos, como Security Assertion Markup Language (SAML) 2.0 e OpenID Connect (OIDC), para habilitar o logon único sem interrupções. Os usuários se autenticam uma única vez no Entra ID, e os aplicativos SaaS confiáveis aceitam esse token de autenticação, concedendo acesso imediato e seguro.

Além disso, o provisionamento automatizado de usuários (frequentemente baseado no padrão SCIM) permite que o Entra ID crie, atualize e exclua contas de usuário automaticamente em aplicativos SaaS de terceiros. Quando um funcionário deixa a empresa e sua conta no Entra ID é desabilitada, ele é automaticamente desprovisionado de todas as plataformas SaaS conectadas, eliminando de imediato possíveis pontos cegos de segurança.

Protegendo a autenticação e o controle de acesso

A autenticação é a porta de entrada para o seu ambiente em nuvem. Garantir que os usuários sejam realmente quem dizem ser é fundamental. No entanto, depender apenas de senhas é receita para o desastre. Senhas podem ser adivinhadas, phishing, reutilizadas ou interceptadas.

Autenticação multifator (MFA)

Habilitar a Autenticação multifator é, sem dúvida, a medida de segurança mais impactante que uma organização pode implementar. O Microsoft Entra ID torna a implantação de MFA flexível e fácil de usar, com suporte a métodos como o aplicativo Microsoft Authenticator (com notificações push e correspondência de número), chaves de segurança FIDO2, tokens de hardware e chamadas de SMS ou voz (embora notificações push por aplicativo e chaves de hardware sejam fortemente recomendadas em vez de SMS, devido à vulnerabilidade a ataques de troca de SIM).

Para eliminar as senhas por completo, o Entra ID oferece suporte a métodos de autenticação sem senha, incluindo o Windows Hello for Business, chaves de segurança FIDO2 e entrada por telefone por meio do aplicativo Microsoft Authenticator. A autenticação sem senha proporciona uma experiência de usuário muito superior e, ao mesmo tempo, neutraliza o roubo de credenciais.

Acesso Condicional: o mecanismo inteligente de políticas

A autenticação não deveria ser um evento estático, do tipo tudo ou nada. Entrar a partir de um notebook corporativo gerenciado, no escritório seguro de Londres, deveria exigir requisitos de segurança diferentes de entrar a partir de um dispositivo desconhecido, em uma rede Wi-Fi pública, em outro país.

É aqui que entra o Microsoft Entra Conditional Access. O Acesso Condicional funciona como um mecanismo inteligente de decisão de políticas. Ele avalia sinais, incluindo a identidade do usuário, o estado do dispositivo, a localização, o nível de risco e a sensibilidade do aplicativo, e aplica as decisões de acesso em tempo real.

Um fluxo típico de política de Acesso Condicional funciona assim:

• Se um usuário tentar acessar um aplicativo financeiro altamente sensível...
• E o risco de entrada dele for avaliado como médio ou alto pelo Microsoft Entra Identity Protection...
• Então conceda acesso, mas exija a Autenticação Multifator e a redefinição de senha, ou bloqueie o acesso por completo até que o risco seja remediado.

O Acesso Condicional permite que as organizações deixem para trás a segurança baseada em perímetro rígido e avancem para uma arquitetura robusta de Zero Trust: nunca confiar, sempre verificar e presumir que houve violação.

Entendendo permissões, funções e delegação

Depois que um usuário se autentica com sucesso e passa por todas as verificações de acesso condicional, o que ele tem permissão para fazer? Gerenciar a autorização no Microsoft Entra ID exige um entendimento profundo de permissões, funções administrativas e modelos de delegação.

Funções integradas do Microsoft Entra

No passado, as organizações frequentemente caíam na armadilha de conceder permissões administrativas amplas demais, como transformar todo técnico da central de suporte em Administrador de Domínio. Na nuvem, seguir o Princípio do Menor Privilégio (PoLP) não é negociável. Os usuários devem ter apenas o nível mínimo de acesso necessário para executar suas funções específicas.

O Entra ID oferece uma grande variedade de funções administrativas integradas e granulares. Por exemplo:

• Administrador de Usuário: pode gerenciar todos os aspectos de usuários e grupos, incluindo redefinir senhas de não administradores.
• Administrador da Central de Suporte: pode redefinir senhas de não administradores e de funções específicas da central de suporte, mas não pode criar usuários nem alterar configurações globais de segurança.
• Administrador de Acesso Condicional: pode criar e gerenciar políticas de Acesso Condicional sem ter acesso a contas de usuário ou dados de faturamento.
• Administrador Global: a função administrativa de nível mais alto, com acesso total a todos os recursos do diretório. Essa função deve ser estritamente limitada a um número muito pequeno de pessoas (idealmente menos de cinco) e monitorada de perto.

Privileged Identity Management (PIM)

Mesmo com funções granulares, o acesso administrativo permanente representa um risco significativo de segurança. Se as credenciais de um Administrador Global forem comprometidas, o invasor fica com as chaves de todo o reino. É aí que entra o Microsoft Entra Privileged Identity Management (PIM).

O PIM habilita o acesso privilegiado Just-In-Time (JIT). Em vez de os administradores terem permissões permanentes, suas contas continuam sendo contas de usuário padrão no dia a dia. Quando uma tarefa administrativa precisa ser executada, o usuário solicita a ativação da função específica pelo PIM. O sistema pode exigir fluxos de aprovação, justificativas obrigatórias e autenticação multifator antes de elevar as permissões do usuário por uma janela de tempo limitada (por exemplo, duas horas). Quando o tempo expira, as permissões são revogadas automaticamente. O PIM transforma privilégios permanentes em eventos temporários e auditáveis.

Melhores práticas para administrar o Entra ID na empresa

Para encerrar este guia extenso, vamos ver algumas melhores práticas aplicáveis que todo administrador de TI, profissional de segurança e arquiteto de nuvem deveria implementar ao gerenciar o Microsoft Entra ID.

1. Exija MFA resistente a phishing para todos

Não espere um incidente de segurança para exigir a autenticação multifator. Imponha MFA em toda a sua organização, começando pelos administradores e usuários privilegiados e expandindo rapidamente para todos os funcionários. Sempre que possível, afaste os usuários da MFA baseada em SMS e direcione-os para notificações push em aplicativo com correspondência de número ou para chaves de segurança FIDO2, a fim de se defender contra ataques de phishing do tipo adversary-in-the-middle (AiTM) modernos.

2. Adote o Zero Trust com linhas de base de Acesso Condicional

Implemente imediatamente um conjunto básico de políticas de Acesso Condicional. No mínimo, bloqueie os protocolos de autenticação legados (que não oferecem suporte aos controles de segurança modernos), exija dispositivos em conformidade para acessar dados corporativos e estabeleça políticas baseadas em risco que se adaptem dinamicamente a comportamentos suspeitos de login.

3. Audite e reduza o número de Administradores Globais

Faça uma auditoria regular das suas funções privilegiadas. Garanta que no máximo duas a quatro contas tenham a função de Administrador Global e exija contas de acesso de emergência (break-glass), ou seja, contas de emergência somente na nuvem, com credenciais fortes protegidas por hardware e armazenadas com segurança, para cenários de falha catastrófica.

4. Aproveite o Privileged Identity Management (PIM)

Se o nível de licenciamento da sua organização permitir (normalmente Microsoft Entra ID P2 ou Microsoft 365 E5), implante o PIM imediatamente. Elimine o acesso administrativo permanente e exija fluxos de trabalho de justificativa e aprovação para todas as ativações de funções sensíveis.

5. Revise regularmente o acesso de convidados e a colaboração B2B

A colaboração externa é essencial para os negócios modernos, mas contas de convidados não gerenciadas representam um grande ponto cego de segurança. Implemente revisões de acesso no Entra ID para recertificar periodicamente se os convidados externos ainda precisam de acesso aos seus recursos corporativos. Remova automaticamente os convidados que não precisam mais de acesso.

Conclusão

O Microsoft Entra ID é muito mais do que um simples diretório de usuários: ele é a camada de segurança fundamental de todo o seu ecossistema em nuvem. Ao entender como gerenciar usuários, grupos, dispositivos e aplicativos empresariais, aplicando autenticação rigorosa, acesso condicional e permissões de privilégio mínimo, você pode transformar a identidade de uma vulnerabilidade na defesa mais forte da sua organização.

Obrigado por acompanhar nosso podcast e ler este post do blog. Se você achou esta análise útil, compartilhe com seus colegas de TI, assine o podcast para mais insights sobre arquitetura em nuvem e nos envie suas dúvidas ou temas que você gostaria que abordássemos nos próximos episódios. Fique seguro por aí!