Arquitetura de identidade e acesso: Microsoft Entra, B2B, CIAM, Acesso Condicional, cargas e Key Vault
Projete autenticação, autorização, identidades de força de trabalho e externas, acesso sensível ao risco, revisões, identidades de aplicativos, identidades gerenciadas e segredos.
Tempo de estudo sugerido: 85 minutos • Nível intermediário • Reescrita autoral completa com resumo conciso de cada tópico
Por João Ricardo Dutra••Conteúdo autoral completo
1. Autenticação e autorização protegem decisões diferentes
A autenticação estabelece se um usuário, uma carga de trabalho ou um processo é realmente a identidade declarada. A autorização ocorre depois e determina qual recurso essa identidade pode usar e qual operação - leitura, gravação, administração ou outra ação - é permitida. Uma arquitetura segura do trata os dois controles como complementares.
O objetivo é controlar o acesso aos recursos organizacionais, proteger senhas e segredos e integrar identidades de pessoas e aplicativos ao . Para a AZ-305, isso inclui recomendar gerenciamento de identidades, autenticação, autorização para recursos do e locais e proteção de segredos, certificados e chaves.
Resumo do tópico
A autenticação comprova a identidade; a autorização avalia as ações permitidas sobre um recurso. As duas são necessárias.
2. Uma solução de IAM atende pessoas, aplicativos e dispositivos
O gerenciamento de identidades e acesso (IAM) deve abranger identidades humanas e de carga de trabalho em ambientes locais e de nuvem. Quatro qualidades definem uma solução robusta: administração unificada, entrada com pouco atrito, acesso adaptável ao risco e governança automatizada que limite continuamente o acesso aos sujeitos autorizados.
O IAM unifica identidades, decisões de acesso, sinais de risco e governança.
Resumo do tópico
Um IAM eficaz centraliza identidades, mantém a entrada simples, responde ao risco e governa todo o ciclo de vida do acesso.
3. Escolha o modelo de identidade conforme o público
Guia de decisão para soluções de identidade.
Público
Design principal
Objetivo
Funcionários e cargas internas
Identidade da força de trabalho em nuvem ou híbrida, acesso a aplicativos e proteção de identidade
Parceiros, fornecedores e convidados
Colaboração B2B na ID Externa do Microsoft Entra
Colaboração segura com a identidade mantida pelo provedor de origem
Consumidores e clientes empresariais
ID Externa do Microsoft Entra em um locatário externo
CIAM, inscrição, entrada, perfis e jornadas com identidade visual
Implantações herdadas de clientes
Continuidade das implantações aceitas enquanto se planeja a evolução para a ID Externa do Microsoft Entra
Resumo do tópico
Identidades de força de trabalho, parceiros e clientes possuem ciclos e requisitos de isolamento diferentes; o público orienta a escolha do locatário e do modelo.
4. O oferece identidade em nuvem e híbrida
O é um diretório multilocatário e serviço de IAM baseado em nuvem que reúne diretório, gerenciamento de acesso a aplicativos e proteção de identidade. No modelo somente em nuvem, as contas de funcionários são gerenciadas diretamente no serviço. No modelo híbrido, o ou a Sincronização na Nuvem do leva identidades do Active Directory local para a nuvem.
Depois de representadas no , essas identidades podem usar acesso centralizado a aplicativos, do , e revisões de acesso. A integração reduz administração duplicada e fornece uma identidade comum para recursos locais e de nuvem.
Uma fonte de identidade autoritativa reduz duplicação e cria um plano de controle consistente.
Resumo do tópico
O atende identidades somente em nuvem ou híbridas, conectando contas locais a controles e proteções em nuvem.
5. Centralize identidades sem sincronizar contas privilegiadas da nuvem para baixo
Use um único diretório autoritativo do para identidades corporativas quando os limites organizacionais e regulatórios permitirem.
Integre diretórios locais e de nuvem para reduzir contas duplicadas e ações de ciclo de vida inconsistentes.
Não sincronize contas privilegiadas exclusivas da nuvem de volta ao Active Directory local; o filtra muitas dessas contas por padrão para reduzir o risco de movimentação da nuvem para o ambiente local.
Prefira credenciais sem senha e resistentes a , como chaves de segurança e chaves de acesso baseadas em criptografia de chave pública vinculada à origem.
Use e provisionamento e desprovisionamento orientados por grupos para reduzir reutilização de senhas e desvio de acesso.
Resumo do tópico
A centralização melhora a consistência, mas identidades privilegiadas precisam de isolamento, autenticação resistente a e ciclo de vida automatizado.
6. A colaboração B2B permite que convidados mantenham suas identidades
A colaboração B2B faz parte da ID Externa do Microsoft Entra e permite que parceiros, fornecedores e outros convidados acessem recursos selecionados. A organização anfitriã controla os recursos e o prazo de acesso, enquanto a organização externa ou o provedor de identidade continua gerenciando a conta, a senha e o ciclo de vida principal do usuário.
Os convidados podem se autenticar com identidades corporativas, escolares, da Microsoft, sociais ou federadas. A anfitriã não precisa manter outra senha nem sincronizar cada conta do parceiro.
Resumo do tópico
No B2B, o convidado mantém suas credenciais e a organização anfitriã controla a autorização sobre os recursos compartilhados.
7. A integração do convidado passa por convite, consentimento e verificação
O fluxo normalmente começa quando o proprietário do aplicativo ou um administrador convida o usuário externo. O convidado segue o convite, aceita as permissões, conclui ou outro desafio exigido e visualiza apenas os aplicativos e serviços compartilhados. Os recursos podem estar na nuvem ou no ambiente local.
Convidados B2B colaboram no locatário da força de trabalho; clientes CIAM usam um locatário externo isolado.
Resumo do tópico
A integração B2B cria uma representação controlada do convidado, registra o consentimento e aplica as verificações de política da organização.
8. Delegue a propriedade do B2B e imponha controles contextuais
Delegue decisões de acesso aos proprietários dos aplicativos, que conhecem a necessidade de negócio e a sensibilidade do recurso.
Aplique requisitos de , dispositivo, localização e de acordo com o risco.
Federe provedores sociais e corporativos compatíveis para que os convidados usem credenciais existentes.
Ofereça inscrição por autoatendimento quando o usuário externo puder solicitar acesso, informar atributos e escolher um provedor aprovado.
Revise e remova o acesso quando a parceria ou finalidade comercial terminar.
Resumo do tópico
B2B seguro combina propriedade delegada, , federação, inscrição controlada e remoção periódica do acesso obsoleto.
9. Use a ID Externa do Microsoft Entra em novos projetos de identidade de clientes
O gerenciamento de identidade e acesso do cliente (CIAM) controla como consumidores e clientes empresariais se cadastram, entram, recuperam acesso e gerenciam perfis. Novos projetos devem usar a ID Externa do Microsoft Entra com um locatário externo, separado do locatário da força de trabalho e preparado para jornadas com marca.
O é uma solução CIAM herdada. Desde 1º de maio de 2025, ele não está disponível para compra por novos clientes; implantações existentes continuam com suporte pelo menos até maio de 2030. O arquiteto deve diferenciar suporte a um locatário existente da plataforma recomendada para um novo design.
Resumo do tópico
A ID Externa do Microsoft Entra é a direção para novos projetos CIAM; o permanece relevante como arquitetura herdada com suporte.
10. Identidade de clientes exige jornadas reutilizáveis e diretório separado
Locatários de clientes isolam as contas de consumidores das identidades de funcionários e parceiros. Fluxos de usuário implementam jornadas repetíveis de inscrição, entrada, edição de perfil e recuperação de senha. Um mesmo fluxo pode servir vários aplicativos, preservando a identidade visual e o modelo de autorização de cada um.
Permita identidades sociais, corporativas, emitidas pelo governo ou locais aprovadas para o público.
Personalize a interface com modelos ou e CSS controlados.
Colete apenas atributos internos e personalizados necessários ao aplicativo.
Integre CRM ou banco de fidelidade externo quando ele precisar continuar como fonte oficial dos dados do cliente.
Use verificação de identidade de terceiros quando a criação da conta exigir validação, pontuação de confiança ou aprovação.
Resumo do tópico
O CIAM separa clientes e cria jornadas reutilizáveis e personalizadas, com integração a identidades sociais, dados externos e comprovação de identidade.
11. Compare colaboração B2B e CIAM de clientes
B2B e identidade de clientes resolvem problemas diferentes.
Dimensão
Colaboração B2B
CIAM em locatário externo / herdado
Relacionamento
Parceiro, fornecedor ou convidado
Consumidor ou cliente empresarial de um aplicativo
Diretório
Representação de convidado no diretório da força de trabalho
Conta do cliente em diretório externo ou B2C separado
Perfil
Governança da anfitriã e identidade mantida na origem
Autoatendimento e atributos controlados pelo aplicativo
Descoberta
Convidados podem ser localizados para colaboração
Clientes ficam isolados entre si
Provedores
Contas corporativas, escolares, email, , WS-Fed e identidades sociais habilitadas
Contas locais, sociais, corporativas e identidades governamentais compatíveis
Marca
Experiência da organização que convida
Experiência voltada ao cliente e personalizável por aplicativo ou locatário
Resumo do tópico
B2B oferece colaboração dentro do ambiente da força de trabalho; CIAM oferece um sistema isolado e voltado ao cliente.
12. O avalia sinais antes de conceder acesso
O do implementa decisões do tipo se-então. Ele avalia identidade, aplicativo, localização, estado do dispositivo, aplicativo cliente e risco. A política pode permitir, exigir ou dispositivo compatível, limitar a sessão ou bloquear o acesso.
O transforma sinais contextuais em uma decisão aplicável.
Resumo do tópico
O combina identidade e contexto para permitir, desafiar, restringir ou bloquear uma solicitação.
13. Projete o com cenários concretos
Exija seletivamente para local desconhecido ou aplicativo sensível.
Bloqueie localizações nomeadas sem uso legítimo, protegendo contas de emergência e administração contra bloqueio acidental.
Exija dispositivo gerenciado ou compatível para recursos que não aceitam postura desconhecida.
Permita acesso móvel somente por aplicativos cliente aprovados ou controles de proteção quando a organização gerencia os dados, não o dispositivo inteiro.
Bloqueie protocolos de autenticação herdados explorados em ataques de pulverização de senha.
Use políticas de risco separadas para exigir ou alteração segura de senha em contas comprometidas.
Resumo do tópico
Cada política deve corresponder a um risco documentado e aplicar o menor controle eficaz a usuários, dispositivos, locais, aplicativos e protocolos.
14. Teste o antes de impor
O normalmente exige P1 ou P2 e também integra o Business Premium. Use o modo somente relatório e a ferramenta What If para prever o impacto. Exclua identidades de acesso de emergência de políticas que possam bloquear o locatário, implante em etapas e examine o gráfico de impacto de cada política no centro de administração do .
Políticas gerenciadas pela Microsoft podem tratar controles comuns, como e fluxo de código de dispositivo. O Agente de Otimização do pode localizar lacunas e sugerir correções quando as licenças e unidades de computação de segurança do estiverem disponíveis. A recomendação de IA ainda precisa de governança e validação humana.
Resumo do tópico
Uma implantação segura usa somente relatório, What If, lançamento gradual, proteção do acesso de emergência e revisão das recomendações gerenciadas ou geradas por IA.
15. A Proteção de ID transforma detecções em correção
A Proteção de ID do detecta, investiga e ajuda a corrigir riscos de identidade. Políticas sensíveis ao risco recebem sinais de comportamento suspeito e podem exigir ou redefinição segura de senha para autocorreção. Os dados podem ser investigados no , consultados pelo ou exportados ao para correlação SIEM.
A proteção de risco forma um ciclo de detecção, decisão, correção, investigação e melhoria.
Resumo do tópico
A Proteção de ID conecta detecções a políticas de acesso, autocorreção, investigação e análise de segurança.
16. Risco do usuário e respondem a perguntas diferentes
Tipos de risco da Proteção de ID.
Risco
Pergunta
Exemplos
Risco do usuário
Qual é a probabilidade de a identidade estar comprometida?
Credenciais vazadas e atividade compatível com padrões conhecidos de ataque
Qual é a probabilidade de esta autenticação não ter sido feita pelo titular?
anônimo, viagem atípica, mal-intencionado, pulverização de senha, anômalo ou de agente de ameaça verificado
O risco do usuário usa evidências mais amplas sobre a conta e pode ser calculado offline. O pode ser avaliado em tempo real ou depois que novas evidências chegam. Eles devem ser governados separadamente.
Resumo do tópico
O risco do usuário estima o comprometimento da conta; o estima se uma autenticação específica é legítima.
17. Conheça as principais detecções de risco
Credenciais vazadas em fontes clandestinas, sites de colagem ou inteligência externa e comparadas a credenciais válidas.
Comportamento incomum ou compatível com padrões conhecidos de ataque segundo a inteligência da Microsoft.
Endereços anônimos ou anonimizados, incluindo Tor e algumas VPNs.
Viagem atípica entre entradas geograficamente distantes e incompatíveis com o histórico.
Reputação mal-intencionada do ou taxa de falhas incomum.
Pulverização de senhas comuns contra várias identidades.
Propriedades anômalas do ou repetição em local desconhecido.
associado a agentes de estado-nação ou criminosos verificados.
Resumo do tópico
A Proteção de ID combina inteligência de credenciais, comportamento, reputação de rede, padrões de ataque e anomalias de .
18. Ajuste limites de risco equilibrando proteção e impacto
Um design frequente usa limite alto para risco do usuário e médio ou superior para , pois alteração segura de senha e podem oferecer autocorreção com menos impacto do que um bloqueio imediato. O limite correto depende da sensibilidade da carga, do perfil de ameaça, da licença e da tolerância do negócio.
Investigue eventos no , exporte relatórios quando necessário, automatize pelo e conecte o serviço ao . A pontuação unificada também pode incorporar sinais do para correlacionar evidências de identidade e .
Resumo do tópico
Políticas de risco devem equilibrar segurança e interrupção, favorecer autocorreção segura e integrar as evidências à operação de segurança.
19. Revisões de acesso removem o desvio de privilégios
Usuários acumulam permissões ao ingressar, mudar de função, colaborar e sair. As revisões de acesso do fornecem recertificação planejada da necessidade, dos direitos e do histórico de acesso. Elas reduzem privilégios obsoletos e produzem evidências de que os controles de autorização estão funcionando.
Revisões mantêm a permissão alinhada à função e ao relacionamento atuais.
Resumo do tópico
Revisões de acesso confirmam periodicamente a necessidade de cada permissão e removem o que perdeu justificativa de negócio.
20. Revise aplicativos, grupos, pacotes e funções privilegiadas
As revisões abrangem aplicativos integrados ao para ; associações a grupos do e , inclusive ; pacotes de acesso que reúnem grupos, aplicativos e sites; e funções do ou de recursos do gerenciadas no ().
O criador seleciona os revisores antes do início: proprietários do recurso, revisores delegados, gerentes quando compatível ou usuários que atestam o próprio acesso. Essa escolha não muda após o início, portanto independência, conhecimento e responsabilidade são essenciais.
Resumo do tópico
Defina o escopo e o revisor conforme quem entende o recurso, a necessidade comercial e o risco de manter o acesso.
21. O plano de revisão precisa de frequência, prazo, avisos e ações
Um plano completo define recursos, frequência, revisores, aviso, janela de conclusão, ações automáticas, substituições manuais e comunicação. Em uma revisão mensal de aplicativo, os gerentes podem receber aviso prévio, ter uma janela curta e remover automaticamente quem não entra há um período definido ou não é analisado no prazo.
A automação pode remover o usuário de um grupo de segurança, enquanto o revisor mantém a possibilidade de antecipar uma remoção. O usuário deve saber por que perdeu o acesso e como solicitá-lo novamente. O processo precisa ser mensurável e auditável.
Resumo do tópico
Uma revisão é um controle operacional: frequência, evidências, prazos, resultados automáticos, exceções e comunicação devem ser projetados.
22. Objetos de aplicativo e entidades de serviço possuem papéis global e local
O objeto de aplicativo é a definição global do aplicativo no locatário inicial. Ele descreve emissão de , recursos que podem ser solicitados e propriedades do registro. A é a representação local desse aplicativo em um locatário e define o que ele realmente pode fazer ali.
O objeto de aplicativo é o modelo; cada é uma instância local usada na autorização.
Resumo do tópico
O objeto de aplicativo é a definição global reutilizável; a é a identidade concreta no locatário.
23. Entenda os três tipos de
Tipos de .
Tipo
Objetivo
Comportamento
Aplicativo
Instância local de um aplicativo registrado
Referencia o objeto global e define o acesso no locatário
Identidade sem credencial para carga do
Criada ao habilitar a identidade; recebe permissões, mas não é editada diretamente
Herdada
Representação anterior aos registros modernos ou criada por experiência herdada
Não possui registro associado e funciona somente no locatário de criação
Resumo do tópico
Entidades de aplicativo, e herdadas são sujeitos não humanos, mas possuem ciclos e formas de administração diferentes.
24. Mapeie a topologia de locatários antes de conceder acesso
Um aplicativo possui no máximo um objeto de aplicativo no diretório inicial e relação de um para muitos com entidades de serviço. Um aplicativo de locatário único normalmente possui uma entidade no locatário inicial. Um aplicativo multilocatário recebe uma em cada locatário onde há consentimento e uso.
A ID do cliente identifica o registro do aplicativo. A ID do objeto identifica o objeto específico no diretório, como a de uma . Não trate esses identificadores como equivalentes.
Resumo do tópico
A topologia define quantas entidades de serviço existem; a ID do cliente e a ID do objeto identificam camadas diferentes.
25. Crie entidades de serviço por registro, consentimento ou automação
O registro no portal do normalmente cria o objeto de aplicativo e a no locatário inicial. A concessão ou o consentimento cria a representação local quando necessário. , CLI do , e outras automações também podem criar e gerenciar a entidade.
Use uma convencional quando um aplicativo externo precisar se autenticar no ou quando a arquitetura controlar deliberadamente sua credencial. Prefira para uma carga hospedada no quando o destino aceitar autenticação do .
Resumo do tópico
A localização da carga e a necessidade de gerenciar credenciais orientam a escolha entre entidade convencional e .
26. Solicite o menor privilégio e governe o consentimento
Solicite apenas permissões exigidas pelas funcionalidades já implementadas.
Escolha o menor privilégio; um aplicativo que apenas lê email não deve pedir gravação.
Trate a negação de consentimento e explique como resolver a falta de acesso.
Restrinja o consentimento do usuário a aplicativos de fornecedores verificados e permissões de baixo risco aprovadas.
Centralize consentimentos de maior risco com administradores de segurança e identidade, mantendo um processo para aplicativos críticos.
Resumo do tópico
O consentimento é uma fronteira de autorização: minimize permissões, controle quem pode consentir e governe exceções.
27. Identidades gerenciadas eliminam o manuseio de credenciais da carga
Identidades gerenciadas são um recurso do disponível nas edições sem cobrança separada da identidade. O cria e gira a credencial subjacente; a carga solicita um do em vez de armazenar usuário, senha, certificado ou segredo de cliente no código.
O autoriza destinos compatíveis, como , do e . O do concede apenas as ações necessárias, enquanto de atividade e de entrada fornecem auditoria.
Resumo do tópico
substitui credenciais armazenadas por ciclo administrado pelo ,, e acesso auditável.
28. Escolha o ciclo atribuído pelo sistema ou pelo usuário
Seleção da .
Tipo
Ciclo de vida
Melhor uso
Atribuída pelo sistema
Vinculada a um recurso e excluída com ele
Carga contida em um recurso que precisa de identidade própria
Atribuída pelo usuário
Recurso independente atribuído a uma ou mais cargas
Identidade compartilhada, pré-autorização, recursos reciclados ou permissão que precisa sobreviver a uma instância
O ciclo da identidade deve acompanhar a arquitetura da carga e da permissão.
Resumo do tópico
A identidade atribuída pelo sistema acompanha um recurso; a atribuída pelo usuário é reutilizável e governada separadamente.
29. Combine hosts compatíveis com destinos autenticados pelo
do , do ,,,, do , do e outros hosts compatíveis podem usar identidades gerenciadas. Os destinos incluem aplicativos e serviços que aceitam do , como , do e .
Em uma aplicação migrada para VM, remover credenciais fixas e usar reduz vazamento e rotação manual. O Serviço de de Instância do oferece um acessível somente dentro da VM para solicitar o .
Resumo do tópico
Identidades gerenciadas funcionam melhor quando a carga hospedada no e o destino oferecem suporte à autenticação do .
30. Combine e
Aplicativos ainda podem precisar de cadeias de conexão, chaves de e segredos quando o sistema de destino não aceita o . Armazene esses valores no e autentique a aplicação com sua . Nenhuma credencial do cofre fica no código-fonte ou na configuração; a autorização do limita objetos e operações.
Resumo do tópico
A autentica a carga; o protege os segredos inevitáveis e os entrega somente à identidade autorizada.
31. O protege segredos, chaves e certificados
O centraliza material confidencial fora do código. Segredos armazenam , senhas, cadeias de conexão, chaves de e SAS. Chaves permitem assinatura e criptografia sem expor o material ao aplicativo. Certificados permitem provisionar, gerenciar e implantar certificados / públicos e privados.
A camada Standard protege chaves com criptografia de software validada. A camada Premium adiciona chaves protegidas por . e monitoramento mostram como e quando cada objeto foi acessado.
Resumo do tópico
O centraliza segredos, chaves e certificados com opções Standard e Premium protegida por .
32. Projete fronteiras de cofre e proteção contra exclusão
Um cofre é uma fronteira de segurança. Separe por aplicativo, ambiente, proprietário ou sensibilidade quando o compartilhamento ampliar o raio de impacto. Conceda privilégio mínimo com do ou modelo de acesso adequado, permita apenas identidades autorizadas e restrinja a rede com firewall, acesso privado ou caminhos de rede virtual aprovados.
Habilite exclusão reversível para recuperar cofres e objetos durante a retenção. Habilite proteção contra limpeza para impedir remoção permanente antes do fim da retenção, mesmo por ação privilegiada indevida. A centralização também permite girar um valor em um único lugar.
Um cofre seguro limita identidade, rede, operação e caminhos de exclusão.
Resumo do tópico
Reduza o raio de impacto com separação, privilégio mínimo, controles de rede, auditoria, exclusão reversível e proteção contra limpeza.
33. Aplique a arquitetura aos cenários da avaliação
Raciocínio dos cenários do módulo.
Requisito
Melhor design
Motivo
Funcionários acessam aplicativos apenas em tablets aprovados
exigindo dispositivo aprovado ou gerenciado
A decisão depende do estado do dispositivo
Funcionários mudaram de função após reorganização
Executar e remover permissões antigas
A revisão confirma a necessidade atual
Cinco desenvolvedores parceiros precisam de acesso temporário
Convidá-los como usuários B2B
Eles mantêm suas identidades e a anfitriã governa o recurso
Entradas por anônimo e local incomum exigem
Política de
O risco pertence a tentativas específicas de autenticação
Resumo do tópico
Classifique a exigência como contexto do dispositivo, ciclo de permissão, colaboração externa ou risco de autenticação para escolher o controle.
34. Conecte os controles de identidade em uma única arquitetura
O fornece o plano de controle. O avalia contexto, a Proteção de ID agrega risco, revisões recertificam permissões, entidades de serviço representam aplicativos, identidades gerenciadas removem credenciais de cargas, o do autoriza ações e o protege segredos, chaves e certificados. O conjunto precisa de propriedade de ciclo de vida, telemetria e privilégio mínimo.
Resumo do tópico
A arquitetura integra diretório, contexto, risco, revisão de permissões, identidade de cargas, autorização e proteção de segredos.
35. Continue com documentação oficial e exploração guiada
Consulte as referências oficiais para verificar licenciamento, serviços compatíveis, migração e recursos que mudam com o tempo. O Microsoft Copilot pode ajudar a comparar opções, mas a resposta deve ser validada na documentação e nas políticas da organização.
