Etapas para analisar o uso de entidades de serviço no seu locatário do Microsoft 365

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Revise o uso de entidades de serviço com o Microsoft Graph e a atividade de entrada. Explore as permissões necessárias, as identidades de aplicativos, o monitoramento e o gerenciamento de acesso.

Automatically translated with AI from the original post. Read the English original

Analisar o uso de entidades de serviço por meio da Análise de Entidades de Serviço é fundamental para proteger o seu locatário do Microsoft 365. Ao monitorar entidades de serviço, você consegue identificar riscos potenciais, como TI paralela (shadow IT) e configurações de segurança fracas. Os principais aspectos a observar são:

• Contas de administrador não gerenciadas

• Autenticação multifator (MFA) inconsistente

• Compartilhamento externo sem supervisão

Entender a atividade de entrada por meio da Análise de Entidades de Serviço ajuda você a detectar padrões incomuns e gerenciar o acesso com eficiência. Essa abordagem proativa não só reduz os riscos, como também garante a conformidade com os requisitos regulatórios, tornando o seu ambiente mais seguro e mais fácil de gerenciar.

Principais conclusões

• Monitore regularmente a atividade de entrada das entidades de serviço para detectar padrões incomuns e reforçar a segurança.

• Garanta que você tenha as permissões necessárias, como AuditLog.Read.All, para analisar o uso de entidades de serviço com eficiência.

• Aplique o princípio do privilégio mínimo, concedendo a cada entidade de serviço somente as permissões essenciais.

• Automatize os processos de monitoramento com ferramentas como o AdminDroid, para simplificar o gerenciamento e melhorar a segurança.

• Documente a finalidade e as permissões de cada entidade de serviço para manter a clareza e a conformidade.

1. As entidades de serviço representam a identidade de aplicativos dentro do seu locatário do Microsoft 365: o objeto do aplicativo é a definição global, mas a entidade de serviço é a identidade local usada para autenticação, atribuições de funções e controle de acesso dentro do seu locatário do Microsoft 365. Por isso, monitorar o uso de entidades de serviço no seu locatário do Microsoft 365 é essencial para saber quem e o quê pode acessar os recursos.
2. Várias entidades de serviço podem corresponder a um único aplicativo: um único objeto de aplicativo pode ter entidades de serviço distintas em vários locatários, cada uma com credenciais, concessões de consentimento e atribuições de funções diferentes. Assim, o mesmo código de aplicativo pode se comportar de maneiras diferentes entre locatários do Microsoft 365.
3. Os tipos de credencial afetam a superfície de ataque: as entidades de serviço podem usar segredos de cliente, certificados ou identidade federada. Segredos de longa duração ampliam a superfície de ataque no seu locatário do Microsoft 365, enquanto a autenticação baseada em certificado ou federada pode reduzir o risco quando configurada corretamente.
4. Permissões delegadas e de aplicativo geram riscos diferentes: as permissões somente de aplicativo concedidas a uma entidade de serviço permitem acesso independentemente de qualquer usuário e podem ser mais poderosas do que as permissões delegadas. Permissões de aplicativo mal configuradas são uma causa comum do uso de entidades de serviço com privilégios excessivos no seu locatário do Microsoft 365.
5. Consentimento e consentimento de administrador variam conforme o escopo: os usuários podem consentir com determinadas permissões delegadas para aplicativos, mas o consentimento de administrador é exigido para permissões de aplicativo de maior risco. Monitorar os eventos de consentimento ajuda você a detectar o uso inesperado de entidades de serviço no seu locatário do Microsoft 365.
6. Identidades gerenciadas simplificam o ciclo de vida, mas são vinculadas ao locatário: as identidades gerenciadas do Azure AD (atribuídas pelo sistema ou pelo usuário) criam entidades de serviço automaticamente para os recursos, facilitando o gerenciamento de credenciais no seu locatário do Microsoft 365. No entanto, elas não podem ser transferidas entre locatários, de modo que mover recursos exige reconfiguração.
7. Acesso Condicional e gerenciamento de direitos também se aplicam a aplicativos: Você pode impor políticas de Acesso Condicional e usar o gerenciamento de direitos para governar o uso de entidades de serviço no seu locatário do Microsoft 365, mas as políticas precisam ser avaliadas explicitamente para contextos de aplicativos, a fim de evitar acesso não autorizado a aplicativos ou movimentação lateral.

Pré-requisitos para a análise de entidades de serviço

Antes de começar a analisar o uso de entidades de serviço, certifique-se de ter as permissões e as ferramentas certas. Essa preparação vai ajudar você a realizar uma análise completa e a gerenciar entidades de serviço com eficiência.

Permissões necessárias

Para analisar a atividade de entidades de serviço no Microsoft Entra e no Microsoft 365, você precisa de permissões específicas. A tabela a seguir descreve o escopo de permissão necessário:

Sem as permissões adequadas, você pode encontrar erros. Por exemplo, se aparecer a mensagem "Privilégios insuficientes para concluir a operação", isso indica que você não tem o acesso necessário. Essa limitação pode prejudicar sua capacidade de gerenciar e analisar entidades de serviço com eficiência.

Ferramentas e recursos

Usar as ferramentas certas pode simplificar o seu processo de análise. Aqui estão algumas ferramentas eficazes para a análise de entidades de serviço em ambientes do Microsoft 365:

Para começar com o PowerShell, siga estas etapas:

1. Conecte-se ao Microsoft Graph PowerShell usando: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Execute o comando para auditar as entradas de entidades de serviço:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

Ao garantir que você tem as permissões e as ferramentas certas, você se prepara para uma análise bem-sucedida de entidades de serviço.

Criação de entidades de serviço no Microsoft Entra

Criar uma entidade de serviço no Microsoft Entra envolve registrar um aplicativo. Esse processo permite que seu aplicativo se autentique e acesse recursos de forma segura. Veja como você pode registrar um aplicativo:

Registro de aplicativo

Para registrar um aplicativo no Microsoft Entra, siga estas etapas:

1. Entre no centro de administração do Microsoft Entra.

2. Acesse Aplicativos e selecione Novo registro.

3. Preencha as informações obrigatórias, como o nome do aplicativo e o URI de redirecionamento.

4. Escolha o tipo de conta apropriado de acordo com suas necessidades.

5. Clique em Registrar para concluir o processo.

Após o registro, você pode criar uma entidade de serviço. Essa entidade de serviço atua como a identidade do seu aplicativo quando ele interage com outros serviços.

Você pode usar vários métodos de criação de entidades de serviço no Microsoft Entra. Entre eles:

• Carregar um certificado confiável emitido por uma autoridade certificadora.

• Criar e carregar um certificado autoassinado para fins de teste.

• Criar um novo segredo de cliente.

Cada método tem seu próprio caso de uso, então escolha o que melhor atende aos requisitos do seu aplicativo.

Entendendo o iniciador

Identificar quem iniciou a criação da entidade de serviço é fundamental para fins de segurança e auditoria. Você pode rastrear essa informação seguindo estas etapas:

1. Entre no centro de administração do Microsoft Entra.

2. Navegue até Monitoramento e integridade e selecione Logs de auditoria.

3. Defina a Categoria como ApplicationManagement e aplique o filtro.

4. Filtre a Atividade para Adicionar entidade de serviço e aplique o filtro.

5. Selecione um evento e expanda Detalhes adicionais. Procure propriedades como ServicePrincipalProvisioningType, SubscribedSkus e AppOwnerOrganizationId.

Rastrear o iniciador ajuda você a entender quem está criando entidades de serviço e por quê. Essa informação é essencial para manter a segurança e a conformidade dentro da sua organização.

Aqui está um resumo dos atributos que você pode encontrar nos logs de auditoria:

Ao entender o iniciador da entidade de serviço, você pode fortalecer sua postura de segurança e garantir que apenas usuários autorizados criem entidades de serviço.

Visualizando a atividade de entrada com o Microsoft Graph

Acessando a API do Microsoft Graph

Para acessar os logs de entrada das entidades de serviço, você pode usar a API do Microsoft Graph. Siga estas etapas para obter os dados necessários:

1. Use a API do Microsoft Graph para gerar o relatório de atividade de entrada das entidades de serviço.

2. Execute o comando Get-MgServicePrincipal para recuperar as entidades de serviço do seu locatário.

3. Crie uma tabela hash com os identificadores dos aplicativos e seus nomes de exibição. Essa etapa é importante, pois os registros de entrada não incluem os nomes dos aplicativos.

4. Execute Get-MgBetaReportServicePrincipalSignInActivity para localizar a atividade de entrada das entidades de serviço cuja última data de entrada seja anterior a um ano.

5. Crie um relatório sobre as entidades de serviço e exporte os dados para um arquivo CSV.

6. Gere estatísticas, como os locatários que possuem aplicativos e o número total de entidades de serviço.

Seguindo essas etapas, você pode acessar e analisar com eficiência os logs de entrada das suas entidades de serviço.

Analisando os logs de entrada

O monitoramento da atividade de entrada é essencial para identificar tentativas de acesso não autorizadas. Ao observar tanto as entradas bem-sucedidas quanto as com falha, você consegue identificar padrões incomuns que podem indicar ameaças à segurança. Esse monitoramento proativo ajuda a tratar possíveis riscos associados a credenciais comprometidas e, assim, fortalece a segurança geral do seu locatário do Microsoft 365.

Estas são algumas anomalias comuns que você pode detectar nos logs de entrada das entidades de serviço:

• Uso incomum de aplicativos, como aplicativos inativos ou esquecidos que voltam a ser usados.

• Relações de confiança inesperadas que foram adicionadas ao Azure AD.

• Alterações nas credenciais das entidades de serviço, incluindo mudanças nas permissões.

Para analisar os logs de entrada com eficiência, considere estas estratégias:

1. Monitore a atividade de entrada pelo centro de administração do Microsoft Entra para visualizar as entradas das entidades de serviço nas últimas 24 horas.

2. Identifique entidades de serviço de risco analisando os logs de entrada em busca de padrões incomuns.

3. Use ferramentas como o Microsoft Entra e o PowerShell para uma análise detalhada dos logs de entrada.

Ao aplicar essas estratégias, você pode aprimorar sua capacidade de detectar atividades de entrada suspeitas e tomar as medidas adequadas para proteger seu ambiente.

Gerenciando entidades de serviço de forma eficaz

Melhores práticas de gerenciamento

Para gerenciar entidades de serviço com eficiência, você deve seguir várias melhores práticas. Implementar essas estratégias vai fortalecer a segurança e simplificar as operações dentro do seu locatário:

• Princípio do Privilégio Mínimo: conceda apenas as permissões necessárias a cada entidade de serviço. Isso limita os possíveis danos caso uma entidade de serviço seja comprometida.

• Rotação regular de credenciais: Faça a rotação das credenciais regularmente e automatize esse processo sempre que possível. Isso reduz o risco de uso de credenciais desatualizadas ou comprometidas.

• Monitorar atividades: Fique de olho em qualquer comportamento suspeito na atividade das entidades de serviço. Isso ajuda você a detectar tentativas de acesso não autorizado logo no início.

• Autenticação forte: Use métodos de autenticação forte, como a autenticação multifator (MFA). Isso adiciona uma camada extra de segurança.

• Armazenamento seguro de credenciais: Armazene e gerencie as credenciais das entidades de serviço de forma segura, usando uma solução de gerenciamento de segredos. Evite guardar credenciais em código ou em arquivos de configuração.

• Documentação: Documente a finalidade e as permissões de cada entidade de serviço. Essa prática ajuda a entender o papel de cada uma dentro do seu locatário.

• Políticas de governança: Estabeleça políticas de governança claras para o gerenciamento de entidades de serviço. Revise e audite as permissões regularmente para garantir a conformidade.

Automatizando o monitoramento

Automatizar o monitoramento das entidades de serviço pode melhorar significativamente a sua postura de segurança. Veja algumas ferramentas e estratégias que vale considerar:

• AdminDroid: Esta ferramenta oferece um recurso de monitoramento de atividades de entrada. Ele ajuda você a acompanhar os padrões de entrada das entidades de serviço e fornece relatórios detalhados sobre uso e tendências de acesso.

• Relatório de alterações em entidades de serviço: O AdminDroid também oferece um relatório que monitora alterações nas entidades de serviço. Esse relatório detalha inclusões, atualizações e remoções, além de atividades de entrada, como horário, nome do aplicativo, status e localização.

Ao automatizar o monitoramento, você obtém vários benefícios:

Implementar essas práticas e ferramentas ajudará você a gerenciar entidades de serviço com eficiência e a manter um ambiente seguro no seu locatário do Microsoft 365.

Em resumo, analisar o uso de entidades de serviço é essencial para proteger o seu locatário do Microsoft 365. Você deve monitorar regularmente a atividade de entrada, gerenciar permissões e seguir as melhores práticas. Estas são as principais conclusões para aprimorar o gerenciamento das suas entidades de serviço:

Ao implementar essas estratégias, você pode fortalecer a sua postura de segurança e garantir o gerenciamento eficaz das entidades de serviço na sua organização.

Perguntas frequentes

O que é uma entidade de serviço no Microsoft 365?

Uma entidade de serviço funciona como uma identidade para que aplicativos acessem recursos com segurança. Ela permite que os aplicativos se autentiquem sem precisar de credenciais de usuário.

Como monitorar a atividade das entidades de serviço?

Você pode monitorar a atividade das entidades de serviço usando a API do Microsoft Graph ou ferramentas como o AdminDroid. Essas ferramentas oferecem insights sobre os padrões de entrada e as tendências de uso.

Por que é importante analisar o uso das entidades de serviço?

Analisar o uso das entidades de serviço ajuda você a identificar riscos de segurança, gerenciar permissões e garantir a conformidade. Isso fortalece a sua postura geral de segurança.

Quais permissões eu preciso para analisar entidades de serviço?

Você precisa da permissão AuditLog.Read.All para analisar a atividade de entidades de serviço no Microsoft Entra e no Microsoft 365. Essa permissão permite acessar os logs necessários.

Como posso automatizar o monitoramento de entidades de serviço?

Você pode automatizar o monitoramento com ferramentas como o AdminDroid. Elas geram relatórios sobre a atividade de entrada e as alterações em entidades de serviço, simplificando suas tarefas de gerenciamento.

objetos de aplicativo do Microsoft Entra ID e criar uma entidade de serviço

O que é uma entidade de serviço e como ela se relaciona com os objetos de aplicativo no Microsoft Entra ID?

Uma entidade de serviço é a identidade de segurança que representa um aplicativo ou serviço no seu locatário do Microsoft Entra. Ela corresponde a um objeto de aplicativo (a definição global) e é a instância criada no seu locatário quando você registra ou consente com um aplicativo. O ID do aplicativo e o ID do cliente fazem a ligação entre os dois, e você verá tanto os objetos de aplicativo quanto os objetos de entidade de serviço no Microsoft Entra quando uma entidade de serviço tiver sido criada.

Como crio uma entidade de serviço no meu locatário do Microsoft 365?

Você pode criar a entidade de serviço registrando um aplicativo no centro de administração do Microsoft Entra ou usando a CLI do Azure ou o SDK do Microsoft Graph PowerShell. Os passos típicos são criar o aplicativo (objeto de aplicativo), depois criar a entidade de serviço no seu locatário principal ou em um locatário proprietário, atribuir permissões e gerar credenciais (segredo do cliente ou certificado). Para scripts automatizados, use o comando az ad sp create-for-rbac da CLI do Azure ou o SDK do Microsoft Graph PowerShell para criar a entidade de serviço.

Onde encontro os detalhes de uma entidade de serviço e analiso a atividade de entrada dela?

Os detalhes da entidade de serviço estão disponíveis no centro de administração do Microsoft Entra, em Aplicativos empresariais ou Registros de aplicativos, dependendo do tipo. Você pode visualizar propriedades como o nome da entidade de serviço, o ID do aplicativo, o ID do locatário e as funções atribuídas. Para analisar a atividade de entrada da entidade de serviço, use os logs de Entradas no Microsoft Entra ou consulte os relatórios de entrada pelo Microsoft Graph para revisar os eventos de autenticação, os eventos de criação de entidades de serviço e a telemetria de entrada.

Como as políticas de acesso e as configurações de autenticação afetam uma nova entidade de serviço?

As políticas de acesso e as configurações de autenticação determinam quais recursos uma entidade de serviço pode acessar e como ela se autentica. Configure os objetos de aplicativo e de entidade de serviço com o princípio do menor privilégio, atribua funções nos recursos e use o acesso condicional e as políticas de acesso no centro de administração do Microsoft Entra. Escolha os métodos de autenticação (segredo do cliente, certificado ou identidade gerenciada) de acordo com as atualizações de segurança e as melhores práticas, para reduzir o risco.

Aplicativos de primeira parte da Microsoft ou serviços da Microsoft podem criar entidades de serviço no meu locatário?

Sim. Aplicativos de primeira parte da Microsoft e serviços da Microsoft frequentemente criam objetos de entidade de serviço no Microsoft Entra ID quando são usados no seu locatário. Eles podem aparecer como aplicativos do Entra ou aplicativos de primeira parte da Microsoft. Alguns serviços da Microsoft criam entidades de serviço automaticamente durante a integração; você pode revisá-las e controlá-las no centro de administração do Microsoft Entra e aplicar elegibilidade just-in-time onde houver suporte.

Como gerencio as permissões e os objetos de entidade de serviço no Microsoft Entra para reduzir o risco?

Audite os eventos de criação de entidades de serviço, revise as permissões concedidas aos objetos de entidade de serviço no Microsoft Entra ID e remova privilégios excessivos. Use atribuições de função, permissões de aplicativo em vez de delegadas quando for apropriado, implemente o acesso condicional e o provisionamento just-in-time ou a elegibilidade just-in-time para entidades de serviço, e renove as credenciais regularmente. Use o Microsoft Learn e outros recursos para orientações prescritivas de segurança e procedimentos de suporte técnico.

Quais ferramentas posso usar para automatizar a inspeção e a criação de entidades de serviço (PowerShell, CLI do Azure)?

Você pode usar o SDK do Microsoft Graph PowerShell, a CLI do Azure ou as APIs do Microsoft Graph para automatizar a criação e a inspeção de entidades de serviço. Comandos como az ad sp create-for-rbac e equivalentes no SDK do Microsoft Graph PowerShell permitem criar a entidade de serviço e obter o ID do cliente, o ID do aplicativo e o ID do locatário. Scripts também podem enumerar os objetos de entidade de serviço no Microsoft Entra e coletar dados de entrada ou de permissões para relatórios.

Como sei se uma entidade de serviço foi criada por um aplicativo cliente ou por uma conta da Microsoft?

Inspecione os detalhes da entidade de serviço no Centro de administração do Microsoft Entra ou consulte-os via Microsoft Graph para ver propriedades como proprietário do aplicativo, editor e tipo do aplicativo de origem. Entidades de serviço criadas por aplicativos de cliente geralmente referenciam um ID de aplicativo/ID de cliente e costumam mostrar a entidade que as criou e o carimbo de data/hora de criação. Entidades de serviço da Microsoft criadas para serviços Microsoft ou aplicativos de primeira parte da Microsoft normalmente incluem editor ou identificadores conhecidos da Microsoft.

Onde posso encontrar recursos e orientações adicionais sobre o Office 365 para profissionais de TI e as melhores práticas para entidades de serviço?

Use o Microsoft Learn, a documentação do Centro de administração do Microsoft Entra, os guias da plataforma de identidade da Microsoft e artigos voltados para o Office 365 para profissionais de TI. Outros recursos incluem a documentação do Microsoft Graph, as referências do Azure CLI e do SDK do Microsoft Graph PowerShell, e as atualizações de segurança publicadas pela Microsoft. Para cenários complexos, entre em contato com o suporte técnico ou consulte os laboratórios do Microsoft Learn sobre objetos de aplicativo e entidades de serviço criados no seu locatário.