RBAC do Azure: funções, escopo, atribuições de acesso e auditoria de alterações

radio_button_uncheckedshort_text1. Acesso seguro sem bloquear o trabalho produtivo

Proteger máquinas virtuais, sites, redes, armazenamento e seus dados exige mais do que autenticação. Pessoas, parceiros e aplicações ainda precisam de autoridade suficiente para concluir o trabalho aprovado. O RBAC do Azure (controle de acesso baseado em função do Azure) fornece a camada de autorização que responde a três perguntas operacionais: quem pode acessar um recurso do Azure, quais operações pode executar e onde essa permissão se aplica.

Imagine uma consultoria de engenharia que transferiu projetos para Azure para que vários escritórios e empresas parceiras possam colaborar. A equipe de TI deve manter os ativos compartilhados protegidos e, ao mesmo tempo, conceder a cada participante apenas o acesso exigido pelo projeto. Este capítulo transforma esse cenário em um fluxo de trabalho repetível de gerenciamento de acesso.

• Verifique seu próprio acesso e investigue o acesso efetivo de outra entidade de segurança.
• Selecione uma função adequada e conceda-a no escopo prático mais restrito.
• Remova o acesso quando ele deixar de ser necessário.
• Use o Log de Atividades do Azure para revisar a atribuição de funções e as alterações de funções personalizadas.

radio_button_uncheckedshort_text2. Autenticação, identidade e autorização no Azure

O Microsoft Entra ID estabelece a identidade e oferece suporte a entrada, logon único, usuários, grupos, entidades de serviço e identidades gerenciadas. O RBAC do Azure usa essas identidades para autorizar operações em recursos do Azure. A autenticação comprova quem ou o que está fazendo a chamada; a autorização decide se essa entidade pode executar a ação solicitada no escopo de destino.

Cada assinatura do Azure confia em um locatário do Microsoft Entra. As entidades de segurança desse diretório podem receber atribuições de função do Azure para a assinatura e seus descendentes. Organizações híbridas podem sincronizar ou provisionar identidades da força de trabalho a partir do Active Directory local usando o Microsoft Entra Connect ou outros métodos compatíveis. Desabilitar a conta de origem e revogar suas sessões remove a identidade de nuvem utilizável, mas os administradores também devem eliminar atribuições obsoletas para que não permaneçam como entradas Identidade não encontrada.

radio_button_uncheckedshort_text3. Distinguir funções do Azure, funções do Microsoft Entra e administradores clássicos

As funções do Azure controlam recursos do Azure por meio do Azure Resource Manager. As funções do Microsoft Entra controlam recursos de diretório, como usuários, grupos, aplicativos empresariais e configurações do locatário. As funções clássicas de administrador de assinatura pertencem a um modelo de autorização anterior e não devem ser confundidas com nenhum dos sistemas modernos.

Uma assinatura está associada a um locatário do Microsoft Entra, contém grupos de recursos e cada recurso pertence a um grupo de recursos. As funções atribuídas acima de um escopo filho podem ser herdadas por esse filho. A autoridade de diretório não concede automaticamente autoridade de recurso Azure e uma função de recurso Azure não concede automaticamente administração de diretório.

radio_button_uncheckedshort_text4. O que RBAC do Azure permite

RBAC do Azure fornece gerenciamento de acesso refinado além do Azure Resource Manager. Ele permite que uma equipe de plataforma separe tarefas sem criar uma lista de permissões exclusiva para cada pessoa.

• Permita que um operador gerencie máquinas virtuais enquanto outro gerencia redes virtuais na mesma assinatura.
• Conceda a um grupo de administradores de banco de dados o controle dos bancos de dados SQL sem conceder permissões de recursos não relacionados.
• Permitir que uma equipe de projeto gerencie todos os recursos dentro de um grupo de recursos, mas nada fora dele.
• Conceda a um aplicativo ou a uma identidade gerenciada acesso aos recursos necessários para automação.
• Forneça acesso somente leitura para auditores e acesso operacional para equipes de suporte.
• Delegue a administração de acesso com uma função privilegiada e, quando compatível, uma condição restritiva de atribuição de função.

radio_button_uncheckedshort_text5. Quem, o quê e onde de uma atribuição de função

O acesso é concedido pela criação de uma atribuição de função. Cada atribuição une uma entidade de segurança, uma definição de função e um escopo. Pense nesses elementos como quem recebe acesso, quais permissões são concedidas e onde elas são válidas. Remover a atribuição revoga essa concessão.

Uma atribuição de função atual também pode incluir uma descrição, uma condição opcional e, quando os recursos e o licenciamento do Microsoft Entra PIM se aplicam, um tipo de atribuição elegível, ativo, permanente ou com limite de tempo. Esses controles refinam a concessão; eles não substituem os três elementos principais.

radio_button_uncheckedshort_text6. Entidades de segurança: usuários, grupos e identidades de carga de trabalho

As atribuições de função para grupos são transitivas: um usuário pode receber acesso por meio de associação a grupos aninhados quando o modelo de associação oferecer suporte. Para infraestrutura como código, use o ID do objeto da entidade e informe corretamente seu tipo. Excluir uma entidade não remove automaticamente suas atribuições; por isso, as revisões de acesso devem limpar atribuições órfãs.

radio_button_uncheckedshort_text7. Definições de funções e campos de permissão

Uma definição de função é uma coleção nomeada de permissões. As definições internas são mantidas pela Microsoft; as definições personalizadas permitem que uma organização agrupe permissões específicas quando nenhuma função interna for adequada. Uma definição pode ser reutilizada em muitas atribuições e escopos.

{
  "Name": "Virtual Machine Restart Operator",
  "Actions": [
    "Microsoft.Compute/virtualMachines/read",
    "Microsoft.Compute/virtualMachines/restart/action"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": ["/subscriptions/<subscription-id>"]
}

As permissões de função efetivas começam com Actions menos NotActions e DataActions menos NotDataActions. Como RBAC do Azure é aditivo, outra atribuição ainda pode conceder uma operação removida por NotActions. Use atribuições de negação somente nos cenários gerenciados por Azure que as suportam; NotActions é um mecanismo de modelagem de função, não uma regra de negação.

radio_button_uncheckedshort_text8. Funções integradas fundamentais e privilégios mínimos

A exportação fornecida menciona alternadamente mais de 70 e mais de 200 funções integradas. A listagem Microsoft atual descreve mais de 120. A contagem exata muda à medida que os serviços adicionam e retiram funções, de modo que a habilidade do exame é selecionar a função integrada adequada mais restrita, em vez de memorizar um número.

Para o cenário de exercício, Colaborador de Máquina Virtual é preferível a Colaborador porque visa o gerenciamento de máquinas virtuais e não permite atribuição de função. Também não concede automaticamente a gestão da rede virtual ou da conta de armazenamento anexada à VM. Sempre inspecione a definição atual antes da atribuição.

radio_button_uncheckedshort_text9. Hierarquia de escopo, herança e raio de impacto

O RBAC do Azure oferece quatro níveis de escopo, do mais amplo ao mais restrito: grupo de gerenciamento, assinatura, grupo de recursos e recurso. Uma concessão no escopo pai é herdada pelos filhos elegíveis. Assim, uma função no escopo da assinatura alcança seus grupos de recursos e recursos; uma função atribuída a um único recurso afeta somente esse recurso.

O privilégio mínimo se aplica às permissões e ao escopo. Se um administrador precisar de uma VM, atribua a função apropriada nessa VM, não no grupo de recursos. Se um desenvolvedor precisar gerenciar integralmente um grupo de recursos, atribua a função adequada no escopo desse grupo, não no escopo da assinatura.

radio_button_uncheckedshort_text10. Como é avaliado o acesso efetivo

O RBAC do Azure é principalmente um modelo de permissão aditiva. Se uma atribuição conceder leitura e outra conceder gravação no mesmo destino, a entidade receberá ambas. Várias associações a grupos e atribuições herdadas podem contribuir com permissões. Uma atribuição Leitor mais restrita não reduz o acesso Colaborador herdado de um escopo pai.

1. O chamador obtém um token que representa sua identidade e suas associações a grupos.
2. O Azure Resource Manager encontra as atribuições de função e as atribuições de negação aplicáveis ao destino.
3. Uma atribuição de negação aplicável bloqueia a ação; caso contrário, a avaliação continua.
4. As funções aplicáveis são combinadas, incluindo concessões herdadas e baseadas em grupos.
5. Actions menos NotActions e DataActions menos NotDataActions produzem as permissões de função.
6. Qualquer condição de atribuição de função é avaliada para a ação e o contexto solicitados.
7. A operação só é permitida quando resta uma concessão aplicável e todas as condições necessárias são atendidas.

radio_button_uncheckedshort_text11. Controle de acesso (IAM) no portal do Microsoft Azure

O controle de acesso (IAM) aparece no grupo de gerenciamento, assinatura, grupo de recursos e escopos de recursos no portal do Microsoft Azure. É o principal espaço de trabalho para verificar o acesso, revisar atribuições de funções, visualizar definições de funções, conceder acesso e remover acesso.

• Verificar acesso: inspecione suas próprias atribuições efetivas ou as de outra entidade, inclusive as herdadas no escopo selecionado.
• Atribuições de funções: liste quem tem qual função, a origem do escopo, o tipo de atribuição, a condição e outros detalhes.
• Funções: liste definições integradas e personalizadas e abra suas permissões e atribuições.
• Atribuições de negação: inspecione restrições protegidas pelo sistema quando estiverem presentes.
• Administradores clássicos: analise os administradores de assinatura herdados onde a guia ainda se aplica.

Os rótulos dos portais evoluem. O exercício exportado usa Perfil > Minhas permissões. A documentação atual enfatiza a abertura do recurso de destino, selecionando Controle de acesso (IAM), abrindo Verificar acesso e escolhendo Exibir meu acesso. Ambas as abordagens expressam o mesmo objetivo de estudo: listar as funções e escopos que atualmente se aplicam a você.

radio_button_uncheckedshort_text12. Exercício: verifique seu próprio acesso

Você precisa de uma assinatura do Azure e permissão para visualizar o escopo selecionado. Uma conta gratuita do Azure ou uma assinatura Azure for Students podem ser usadas por pessoas elegíveis; ofertas e termos podem mudar.

1. Entre no portal do Microsoft Azure e abra o grupo de gerenciamento, assinatura, grupo de recursos ou recurso que você deseja inspecionar.
2. Selecione Controle de acesso (IAM) e abra Verificar acesso.
3. Selecione Ver meu acesso. Se Microsoft Entra PIM estiver integrado, inspecione as atribuições ativas, elegíveis e com limite de tempo na guia apropriada.
4. Registre o nome da função, o escopo da atribuição, se ela é herdada, qualquer condição e se a ativação é necessária.
5. Se estiver usando a entrada Minhas permissões em nível de perfil disponível em sua experiência no portal, compare seu resultado orientado a assinatura com a visualização IAM do recurso selecionado.

radio_button_uncheckedshort_text13. Exercício: listar acesso para um grupo de recursos

1. Procure grupos de recursos no portal e abra o grupo-alvo, como um grupo de treinamento denominado grupo de exemplo.
2. Selecione Controle de acesso (IAM) e abra Atribuições de funções.
3. Compare as atribuições cujo escopo é Este recurso com entradas herdadas da assinatura ou do grupo de gerenciamento.
4. Use filtros por função, tipo de entidade, escopo ou tipo de atribuição para isolar o resultado necessário.
5. Abra Verificar acesso ao investigar um usuário, grupo, entidade de serviço ou identidade gerenciada.

Uma atribuição criada no grupo de recursos aplica-se aos recursos dentro dele. Uma atribuição herdada foi criada acima do grupo e deve ser alterada ou removida no seu escopo original. Não tente excluir uma atribuição herdada da visualização secundária.

radio_button_uncheckedshort_text14. Exercício: inspecionar funções e suas atribuições

1. No controle de acesso (IAM), abra a guia Funções para listar as definições de funções integradas e personalizadas disponíveis no escopo selecionado.
2. Filtre por nome, descrição, tipo ou categoria. Abra Visualização na coluna Detalhes de uma função.
3. Revise as permissões para entender Actions, NotActions, DataActions e NotDataActions.
4. Abra Atribuições para ver quantos usuários, grupos e identidades de carga de trabalho recebem essa função e em quais escopos.

Os nomes das funções por si só não são suficientes para uma decisão de segurança. As funções de serviço podem incluir operações surpreendentes no plano de controle ou no plano de dados, e as definições integradas podem evoluir. Revise a lista de permissões atual e o escopo da atribuição antes da aprovação.

radio_button_uncheckedshort_text15. Exercício: conceder acesso de Colaborador de Máquina Virtual

O cenário exige que um colega crie e gerencie máquinas virtuais de um projeto. O projeto de privilégio mínimo usa Colaborador de Máquina Virtual no grupo de recursos do projeto, supondo que todas as VMs desse grupo estejam incluídas. Para criar a atribuição, o administrador precisa de Microsoft.Authorization/roleAssignments/write, disponível em funções como Administrador de Controle de Acesso Baseado em Função ou Administrador de Acesso do Usuário.

1. Abra o grupo de recursos de destino e selecione Controle de acesso (IAM) > Atribuições de função.
2. Selecione Adicionar > Adicionar atribuição de função. Um comando desabilitado indica que o chamador atual não tem permissão de atribuição.
3. Em Função, pesquise Colaborador de Máquina Virtual, inspecione seus detalhes, selecione-o e continue.
4. Em Membros, escolha Usuário, grupo ou entidade de serviço, selecione membros, procure o colega e adicione a seleção.
5. Adicione uma descrição concisa que explique o projeto e a aprovação. Se as guias Condições ou Tipo de atribuição forem exibidas, configure somente o que o projeto de acesso e o licenciamento exigirem.
6. Em Examinar + atribuir, verifique a entidade, a função, o escopo, a condição, o tipo e a duração; depois, confirme a atribuição.
7. Volte a Atribuições de função ou a Verificar acesso e confirme que a nova concessão aparece no escopo pretendido.

radio_button_uncheckedshort_text16. Remova o acesso e limpe as atribuições

O acesso é revogado removendo a atribuição de função que o concede. Em Atribuições de função no escopo selecionado, localize a entidade e a função, selecione a atribuição, escolha Remover ou Excluir e confirme. Se a entrada for herdada, navegue até o escopo pai onde ela foi criada.

Remover uma atribuição pode não eliminar o acesso efetivo, pois outra atribuição direta, herdada, baseada em grupo, elegível ou limitada por tempo ainda pode conceder a operação. Verifique novamente o acesso da entidade após a limpeza. A propagação de tokens e caches também pode atrasar o resultado observado; portanto, não trate uma atualização imediata do portal como única validação.

radio_button_uncheckedshort_text17. Audite as alterações do RBAC do Azure com o Log de Atividades do Azure

As alterações nas atribuições de funções e nas definições de funções personalizadas em uma assinatura são operações de gerenciamento registradas no Log de Atividades do Azure. O log é útil para auditorias e solução de problemas porque mostra a operação, o chamador, o escopo de destino, o carimbo de data/hora, o status e detalhes relacionados.

O Log de Atividades do Azure retém eventos de assinatura por 90 dias por padrão. Para retenção mais longa, análise centralizada ou correlação com outros sinais, exporte-os por meio de configurações de diagnóstico para um espaço de trabalho Log Analytics, armazenamento Azure ou Hubs de Eventos do Azure conforme apropriado.

radio_button_uncheckedshort_text18. Exercício: produza um relatório de alterações RBAC do Azure

1. No portal, abra Monitor ou Todos os serviços e selecione Log de Atividades.
2. Escolha a assinatura e defina Timespan para o intervalo necessário, como Último mês. Um relatório da última semana deve usar o intervalo correspondente de sete dias.
3. Filtre a categoria do evento para Administrativo quando necessário, adicione um filtro de operação e pesquise a função.
4. Selecione Criar atribuição de função, Excluir atribuição de função, Criar ou atualizar definição de função personalizada e Excluir definição de função personalizada.
5. Abra um evento para inspecionar seu resumo e detalhes JSON, incluindo chamador, ação, escopo, carimbo de data/hora e status.
6. Use Baixar como CSV para obter um relatório simples de um momento específico. Para relatórios duráveis, envie o log para Logs do Azure Monitor e consulte a tabela AzureActivity.

AzureActivity
| where TimeGenerated > ago(30d)
| where Authorization has "Microsoft.Authorization/roleAssignments"
   or Authorization has "Microsoft.Authorization/roleDefinitions"
| project TimeGenerated, Caller, OperationNameValue, ActivityStatusValue, ResourceId
| order by TimeGenerated desc

radio_button_uncheckedshort_text19. Solucione problemas de acesso metodicamente

radio_button_uncheckedshort_text20. Verificação de conhecimento: conceitos básicos do RBAC do Azure

radio_button_uncheckedshort_text21. Decisões em exames e armadilhas comuns

• Uma definição de função é o modelo de permissão; uma atribuição de função vincula esse modelo a uma entidade de segurança em um escopo.
• Colaborador gerencia recursos, mas não pode delegar acesso a RBAC do Azure.
• Leitor em um escopo filho não reduz Colaborador herdado de um pai porque as concessões são aditivas.
• NotActions subtrai de uma definição de função; não é uma negação explícita em todas as atribuições.
• As funções do Azure gerenciam recursos do Azure; as funções do Microsoft Entra gerenciam recursos de diretório.
• Para investigar uma pessoa em um recurso, comece com Controle de acesso (IAM) desse recurso > Verificar acesso.
• Para listar as atribuições atuais, use Atribuições de função; para relatar alterações ao longo do tempo, use o Log de Atividades do Azure.
• A função e o escopo mais restritos são normalmente a resposta com menos privilégios.

radio_button_uncheckedshort_text22. Resumo, recuperação ativa e recursos oficiais

O RBAC do Azure protege recursos do Azure combinando uma entidade de segurança, uma definição de função e um escopo em uma atribuição. O acesso efetivo pode incluir concessões diretas, herdadas, baseadas em grupos, condicionais e limitadas por tempo. Os administradores verificam o acesso em Controle de acesso (IAM), concedem e removem atribuições deliberadamente e usam o Log de Atividades do Azure para rastrear mudanças.

Lista de recuperação ativa

• Você pode explicar autenticação versus autorização sem usar a mesma definição duas vezes?
• Você consegue identificar quem, o quê e onde em uma solicitação de acesso desconhecida?
• Você pode prever o acesso herdado em todos os quatro níveis de escopo?
• Você consegue distinguir Actions, NotActions, DataActions e NotDataActions?
• Você pode escolher entre Verificar acesso, Atribuições de função, Funções e Log de Atividades?
• Você pode explicar por que a remoção de uma atribuição pode não remover o acesso efetivo?

Documentação oficial

• O que é controle de acesso baseado em função do Azure (RBAC do Azure)?
• Entender as atribuições de função do Azure
• Entenda o escopo do RBAC do Azure
• Listar definições de função do Azure
• Verifique o acesso de um usuário a um recurso Azure
• Atribuir funções Azure usando o portal
• Veja as alterações do RBAC do Azure nos registros de atividades