Arquitetura de identidade e segurança do Azure: Entra, autenticação, RBAC, Confiança Zero, criptografia e Defender para Nuvem
Projete controles de identidade e segurança conectando diretórios, autenticação forte, colaboração externa, acesso contextual, privilégio mínimo, defesa em camadas, governança de chaves e postura multinuvem.
Tempo de estudo sugerido: 68 minutos • Nível básico a intermediário • Reescrita autoral completa com foco em decisões de arquitetura e resumo conciso de cada tópico de estudo
Por João Ricardo Dutra••Conteúdo autoral completo
1. Objetivos de identidade, acesso e segurança
Este capítulo conecta serviços de identidade do , autenticação, autorização, arquitetura de segurança, criptografia, gerenciamento de chaves e proteção da postura na nuvem. O objetivo é entender como esses controles se reforçam.
Diferenciar , e identidade híbrida.
Comparar , e métodos de .
Explicar identidades externas, e do .
Aplicar e defesa em profundidade.
Reconhecer criptografia, e .
Mapa de identidade, autenticação, autorização, , defesa em profundidade, criptografia e proteção na nuvem.
Resumo do tópico
A arquitetura de segurança do une diretório, autenticação, autorização, proteção em camadas, criptografia, governança de chaves e postura em um único sistema.
2. como diretório de nuvem
é o serviço da Microsoft para identidade e acesso na nuvem. Ele autentica identidades em serviços Microsoft, aplicativos de terceiros e aplicações criadas pela organização. O cliente controla contas e políticas, enquanto a Microsoft opera o diretório globalmente disponível.
Conectar o Active Directory local ao adiciona inteligência de nuvem às identidades. O serviço pode avaliar o comportamento de entrada e detectar tentativas suspeitas em dispositivos desconhecidos ou locais inesperados.
Resumo do tópico
é o diretório de nuvem global no qual o cliente administra identidades e políticas para aplicações Microsoft, e próprias.
3. Quem usa o e o que ele oferece
Públicos do diretório e tarefas comuns.
Público
Uso típico
Administradores de TI
Controlar acesso conforme a carga e os requisitos de segurança
Desenvolvedores
Adicionar autenticação padronizada, e credenciais organizacionais existentes
Usuários
Manter a identidade e usar redefinição de senha de autoatendimento
Assinantes de serviços
Autenticar-se no , e serviços do Microsoft Dynamics
A autenticação inclui redefinição de senha de autoatendimento, , listas de senhas banidas e .
O gerenciamento de aplicativos inclui de Aplicativo, integração e o portal Meus Aplicativos.
O gerenciamento de dispositivos oferece registro e integração com .
O estado do dispositivo pode participar de políticas de .
Resumo do tópico
Administradores, desenvolvedores, usuários e assinantes usam Entra ID para autenticação, acesso, autoatendimento e políticas baseadas em dispositivo.
4. Identidade híbrida com
Sem integração, o diretório local e o exigem conjuntos de identidade separados. O sincroniza informações entre e para oferecer experiência consistente em recursos locais e de nuvem.
O desenho híbrido pode estender , e redefinição de senha de autoatendimento, mantendo o diretório local para cargas que ainda dependem dele. É preciso definir fontes de autoridade e proteger contas administrativas.
Fluxo híbrido do Active Directory local pelo até e .
Resumo do tópico
sincroniza identidades do local com Entra ID para uma experiência híbrida consistente de entrada e ciclo de vida.
5.
fornece ingresso no domínio, Política de Grupo, LDAP e autenticação ou NTLM gerenciados. Assim, aplicativos legados incompatíveis com autenticação moderna podem migrar para o sem controladores de domínio próprios na nuvem.
Usuários e grupos do locatário tornam-se disponíveis no domínio gerenciado e usam credenciais existentes, facilitando a transição de aplicações que esperam serviços tradicionais de domínio.
Resumo do tópico
fornece ingresso no domínio, Política de Grupo, LDAP, e NTLM gerenciados para cargas tradicionais.
6. Operação e sincronização do domínio gerenciado
O domínio começa com um exclusivo. O implanta dois controladores de domínio do Windows Server como conjunto de réplicas e administra configuração, atualização, backup e criptografia de disco em repouso.
A sincronização do para o domínio gerenciado é unidirecional. Objetos criados apenas nele não retornam. Em ambiente híbrido, o primeiro sincroniza o diretório local com o .
Resumo do tópico
O opera um conjunto de réplica com dois controladores, enquanto os objetos sincronizam em uma direção do Entra ID para o domínio gerenciado.
7. Força da autenticação e logon único
A autenticação comprova a identidade de uma pessoa, serviço ou dispositivo. Senhas, , e métodos sem senha equilibram conveniência e resistência de formas diferentes; métodos sem senha normalmente oferecem segurança forte e experiência mais simples.
permite que uma identidade acesse vários aplicativos confiáveis após uma entrada. Ele reduz proliferação de senhas, bloqueios, redefinições e trabalho de ciclo de vida. A segurança depende do autenticador inicial, pois as sessões seguintes herdam essa confiança.
Comparação entre senha, logon único, autenticação multifator e métodos sem senha.
Resumo do tópico
reduz a proliferação de senhas ao reutilizar uma autenticação confiável; por isso a força do autenticador inicial é decisiva.
8. Autenticação multifator
exige prova adicional para que uma senha roubada não baste. Os fatores correspondem a algo que o usuário sabe, possui ou é. Combinar categorias oferece proteção maior que repetir dois exemplos do mesmo tipo.
Categorias de fatores.
Categoria
Exemplos
Algo conhecido
Senha, PIN ou resposta a desafio
Algo possuído
Telefone registrado, notificação de aplicativo ou chave física
Algo inerente
Impressão digital ou reconhecimento facial
A autenticação multifator do pode pedir chamada telefônica, notificação do , chave de segurança ou outro método registrado. O pode exigir conforme identidade, dispositivo, local, aplicação ou risco.
Resumo do tópico
combina fatores independentes de conhecimento, posse ou biometria para que uma senha roubada não baste.
9. no
A elimina a senha do acesso cotidiano e usa dispositivo confiável com PIN ou biometria. Após o registro, o usuário comprova posse localmente sem transmitir um segredo reutilizável como uma senha.
O módulo destaca Windows Hello para Empresas, e chaves de segurança FIDO2. Eles reduzem adivinhação, reutilização, roubo e , além de melhorar a experiência.
Resumo do tópico
A entrada sem senha substitui credenciais reutilizáveis por dispositivo confiável e prova local por PIN ou biometria.
10. Windows Hello, e FIDO2
Métodos sem senha.
Método
Funcionamento
Uso indicado
Windows Hello para Empresas
Vincula PIN ou biometria ao PC do usuário e integra-se a e
Profissionais com dispositivo Windows designado
Envia correspondência numérica ao iOS ou Android e confirma com biometria ou PIN
Entrada móvel sem senha
Chave de segurança FIDO2
Usa autenticador WebAuthn resistente a por USB, NFC ou Bluetooth
Acesso portátil de alta garantia
A chave FIDO2 é registrada para o usuário e escolhida como método principal. O hardware realiza a prova criptográfica, portanto não existe senha reutilizável para ser exposta ou adivinhada.
Comparação entre Windows Hello para Empresas, e chaves de segurança FIDO2.
Resumo do tópico
, e chaves FIDO2 atendem experiências sem senha vinculadas a dispositivo, celular ou hardware.
11. Identidades externas e o limite do locatário
Uma identidade externa pertence a pessoa, dispositivo ou serviço fora do locatário. A permite que parceiros, fornecedores, prestadores, clientes e consumidores usem identidades existentes, enquanto o locatário de recursos controla autorização e políticas.
O provedor externo autentica e a organização autoriza pelo ou capacidades para clientes. Podem ser usadas contas corporativas, identidades sociais como Google ou Facebook, contas Microsoft e identidades digitais governamentais compatíveis.
Resumo do tópico
ID externa permite que parceiros e clientes tragam a própria identidade enquanto o locatário do recurso controla autorização e políticas.
12. Colaboração B2B, conexão direta e identidade de clientes
Capacidades de identidade externa.
Capacidade
Representação e cenário
Colaboração B2B
O usuário externo entra com a identidade preferida e normalmente aparece como convidado
Conexão direta B2B
Dois locatários estabelecem confiança para canais compartilhados do Teams; o usuário permanece no locatário de origem
para clientes
Gerencia identidade e acesso de consumidores a ou aplicativos personalizados, não a aplicativos Microsoft
Participantes de conexão direta não são objetos convidados, mas aparecem no canal compartilhado e nos relatórios do Centro de administração do Teams. As capacidades podem ser combinadas conforme os recursos compartilhados.
Modelos de identidade externa para convidados B2B, conexão direta e aplicativos de clientes.
Resumo do tópico
Convidados B2B, conexão direta B2B e identidade de clientes atendem colaboração no diretório, Teams entre locatários e aplicações de consumidores.
13. Governança do acesso de convidados
Administradores ou usuários autorizados podem convidar pessoas de outros locatários e identidades sociais compatíveis. O acesso não deve permanecer indefinidamente apenas porque um projeto o exigiu no passado.
As revisões de acesso pedem ao convidado ou responsável que confirme a necessidade. O oferece recomendações e, ao final, o acesso é mantido, ajustado ou removido.
Resumo do tópico
Convites devem ser acompanhados por revisões para recertificar, ajustar ou remover permissões de convidados ao longo do tempo.
14. : sinais, decisões e aplicação
O do avalia usuário, função, local, dispositivo, aplicativo, rede e risco. Durante a entrada, reúne contexto, toma a decisão da política e aplica o resultado: permitir, bloquear ou exigir controle adicional como .
Uma solicitação rotineira em dispositivo compatível e local conhecido pode prosseguir. Local estranho, equipamento não gerenciado, função privilegiada ou entrada arriscada podem exigir autenticação mais forte ou bloqueio.
Fluxo de dos sinais de identidade até permitir, bloquear ou exigir .
Resumo do tópico
converte sinais de usuário, dispositivo, local, aplicação, rede e risco em permissão, bloqueio ou exigência de .
15. Cenários comuns de
Exigir de administradores, funções privilegiadas, aplicações sensíveis ou acessos fora de redes confiáveis.
Permitir um serviço somente por aplicativos cliente aprovados.
Exigir dispositivos gerenciados, seguros e em conformidade.
Bloquear locais desconhecidos, redes inesperadas, entradas arriscadas ou origens não confiáveis.
O equilibra produtividade e proteção ao adicionar atrito quando o contexto justifica. As políticas devem ser testadas para não bloquear contas de emergência ou cargas críticas.
Resumo do tópico
Use políticas contextuais para proteger funções privilegiadas, aplicações sensíveis, clientes aprovados, dispositivos conformes e origens confiáveis.
16. do e privilégio mínimo
O do (controle de acesso baseado em função do ) autoriza ações sobre recursos do . Ele aplica privilégio mínimo ao definir o que uma entidade de segurança pode fazer e onde. Funções internas cobrem padrões comuns, e funções personalizadas representam tarefas específicas.
Atribuir funções a grupos simplifica integração e mudanças: um novo engenheiro recebe as permissões do grupo e as atribuições podem alcançar recursos novos. Uma função pode administrar, oferecer leitura ou conceder ações estreitas.
Resumo do tópico
do atribui funções internas ou personalizadas a entidades em um escopo e aplica privilégio mínimo ao gerenciamento de recursos.
17. Escopos e herança do do
Hierarquia de escopos.
Escopo
Efeito da herança
Grupo de gerenciamento
Herda-se em assinaturas, grupos de recursos e recursos
Assinatura
Herda-se em todos os grupos e recursos da assinatura
Grupo de recursos
Herda-se nos recursos do grupo
Recurso
Aplica-se somente ao recurso selecionado
Proprietário em grupo de gerenciamento pode administrar assinaturas descendentes; Leitor em assinatura vê todos os grupos e recursos. Escolher o escopo é tão importante quanto escolher a função.
Atribuição do do formada por entidade, função e escopo hierárquico.
Resumo do tópico
Atribuições são herdadas de grupos de gerenciamento para assinaturas, grupos de recursos e recursos; função e escopo devem ser projetados juntos.
18. Como o do é aplicado
O do avalia operações de gerenciamento que passam pelo a partir do portal do ,, ou CLI do . Ele não protege automaticamente a autorização interna de uma aplicação nem todas as operações do plano de dados.
O modelo é aditivo e baseado em permissão. Se uma atribuição concede leitura e outra escrita no escopo efetivo, a entidade recebe ambas. A governança precisa examinar o resultado combinado e a herança.
Resumo do tópico
aplica permissões aditivas a operações de gerenciamento; autorização de aplicação e dados pode exigir controles próprios.
19. Princípios de
começa assumindo que uma violação é possível e trata toda solicitação como se viesse de rede sem controle. Adapta-se ao trabalho móvel e a pessoas, dispositivos, aplicações e dados distribuídos sem confiar apenas pela localização interna.
Três princípios de .
Princípio
Significado prático
Verificar explicitamente
Autenticar e autorizar com dados de identidade, dispositivo, local, serviço e risco
Usar privilégio mínimo
Limitar acesso com controles Just-In-Time, Just-Enough-Access, adaptativos e proteção de dados
Pressupor violação
Segmentar, verificar criptografia de ponta a ponta, analisar atividade, detectar ameaças e reduzir impacto
Princípios de : verificar explicitamente, usar privilégio mínimo e pressupor violação.
Resumo do tópico
verifica explicitamente, concede privilégio mínimo e pressupõe violação para reduzir oportunidades e impacto.
20. na prática
Projetos tradicionais costumavam confiar em computadores gerenciados dentro da rede e restringir e dispositivos pessoais. troca confiança por localização por avaliação contínua e contextual.
Um usuário em rede pública e dispositivo não gerenciado pode acessar aplicações de baixo risco, receber em sistemas sensíveis ou ser bloqueado se o risco for alto. A decisão muda com os sinais.
Resumo do tópico
O acesso é reavaliado por identidade, integridade do dispositivo, sensibilidade e risco, não apenas pela localização na rede.
21. Defesa em profundidade e suas camadas
Defesa em profundidade coloca salvaguardas independentes entre o invasor e os dados. Se um controle falhar, a próxima camada atrasa o avanço, limita a exposição e gera sinais para resposta manual ou automática.
O modelo inclui segurança física, identidade e acesso, perímetro, rede, computação, aplicação e dados. É uma orientação de decisões, não um produto único, e evita depender de uma só fronteira.
Sete camadas de defesa em profundidade protegendo os dados no centro.
Resumo do tópico
Controles físicos, de identidade, perímetro, rede, computação, aplicação e dados evitam que uma única falha exponha a carga.
22. Defesas física, de identidade e de perímetro
A segurança física protege prédios, hardware e ativos contra acesso, roubo ou perda.
Identidade e acesso protege contas, limita permissões de infraestrutura e mudanças, usa e e audita eventos.
O perímetro identifica ataques, usa proteção contra DDoS e firewalls para bloquear e alertar sobre atividade maliciosa.
Resumo do tópico
Proteções físicas defendem hardware, identidade protege contas e o perímetro absorve ou bloqueia ataques de rede.
23. Defesas de rede e computação
A rede segmenta recursos, nega por padrão, restringe entrada da Internet, limita saída e protege conectividade local.
A computação protege , implementa proteção de ponto de extremidade, remove malware e mantém sistemas atualizados.
A segmentação reduz a partir de um sistema comprometido. Caminhos administrativos seguros e correções atuais diminuem pontos de entrada exploráveis.
Resumo do tópico
Segmentação, negação por padrão, administração segura, proteção de ponto de extremidade e correções limitam entrada e .
24. Defesas de aplicação e dados
A segurança da aplicação começa no ciclo de desenvolvimento, exige padrões seguros, elimina vulnerabilidades e mantém segredos fora do código.
A segurança dos dados protege confidencialidade, integridade e disponibilidade e aplica criptografia em repouso e em trânsito.
Invasores buscam bancos de dados, discos de , como e armazenamento de nuvem. Por isso os dados ficam no centro do modelo.
Resumo do tópico
Desenvolvimento seguro e segredos externos protegem aplicações; controles de acesso e criptografia defendem os dados procurados pelo invasor.
25. Criptografia em repouso e em trânsito
Criptografia torna a informação ilegível para pessoas não autorizadas. Em repouso protege bancos, discos e contas de armazenamento; em trânsito protege dados entre serviços, aplicações, e usuários. Uma arquitetura forte usa ambas.
Em uma aplicação com do e , registros de clientes devem permanecer criptografados armazenados e ao atravessar camadas ou conexões. A proteção também depende de identidade, autorização e chaves corretas.
Resumo do tópico
Proteja a confidencialidade com criptografia em repouso no armazenamento e em trânsito entre usuários, , aplicações e serviços.
26. Gerenciamento de chaves e segredos com
centraliza segredos como senhas e cadeias de conexão, chaves de criptografia e certificados. As aplicações recuperam os valores durante a execução em vez de guardar credenciais no código ou em arquivos de configuração.
Controlar e auditar quem pode ver ou usar chaves e segredos.
Separar responsabilidades de visualização, uso e rotação.
Girar chaves e alertar antes do vencimento para evitar interrupções.
Usar identidades gerenciadas para acessar sem credenciais codificadas.
Criptografia em repouso e em trânsito com segredos, chaves e certificados centralizados no .
Resumo do tópico
centraliza segredos, chaves e certificados com controle, auditoria, rotação, separação de responsabilidades e identidades gerenciadas.
27. Cobertura do
combina gerenciamento de postura de segurança e proteção contra ameaças. Ele monitora recursos do , locais, híbridos e multinuvem, recomenda melhorias e gera alertas.
Muitos serviços nativos do não exigem implantação extra; componentes de coleta podem ser adicionados para sinais mais profundos.
estende planos a servidores externos, enquanto o CSPM avalia recursos multinuvem.
A cobertura inclui ,, do ,, redes e plataformas de contêiner.
Na AWS, amplia recomendações, Defender para Contêineres para Amazon EKS e Defender para Servidores para EC2; também avalia e protege GCP.
Cobertura do no , ambiente local, AWS e GCP.
Resumo do tópico
fornece postura e proteção contra ameaças no , infraestrutura híbrida, AWS e GCP.
28. Avaliar, proteger e defender
Três funções do .
Função
Capacidades
Avaliar continuamente
Acompanhar postura e vulnerabilidades em máquinas, registros de contêiner, SQL, dados e infraestrutura
Proteger
Usar , parâmetro de comparação de segurança na nuvem da Microsoft, recomendações, controles e pontuação de segurança
Defender
Gerar alertas e proteção avançada para máquinas, bancos, contêineres, aplicações Web e redes
Defender para Servidores pode integrar-se ao e mostrar achados do . As políticas podem ser aplicadas no grupo de gerenciamento, assinatura ou locatário.
Alertas identificam recursos, sugerem correção, podem acionar um aplicativo lógico e ser exportados. A análise de cadeia de ataque correlaciona alertas. A proteção avançada inclui acesso Just-In-Time a VM, portas restritivas e controles adaptativos.
Resumo do tópico
Defender para Nuvem avalia vulnerabilidades, fortalece recursos com políticas e pontuação de segurança e correlaciona alertas acionáveis.
29. Avaliação do módulo com respostas explicadas
Verificação reformulada.
Pergunta
Resposta
Motivo
Qual controle altera exigências conforme localização e outros sinais?
Ele avalia contexto e permite, bloqueia ou exige autenticação adicional.
Qual modelo começa presumindo o pior cenário?
Ele pressupõe violação e verifica toda solicitação.
Uma entidade recebe leitura, escrita e leitura/escrita por funções diferentes. O que fica efetivo?
Leitura e escrita
As atribuições permissivas se somam no escopo efetivo.
Qual serviço armazena segredos, certificados e chaves?
Ele centraliza material protegido e acesso controlado em execução.
Resumo do tópico
A avaliação reforça ,, permissões aditivas do e para chaves, segredos e certificados.
30. Resumo e prática com Copilot
estabelece e autentica identidades; e do decidem condições e escopo. e defesa em profundidade orientam o projeto; criptografia e protegem dados e chaves; avalia e defende cargas.
A fonte recomenda Microsoft Certified: Security, Compliance, and Identity Fundamentals. Também menciona pagamento conforme o uso e avaliação gratuita do por até 30 dias; confirme a oferta atual.
Explore com o Copilot Chat
Crie um cenário em que ,, e do se reforcem em .
Compare , e identidades externas com exemplos.
Simule um incidente e explique como criptografia, chaves, defesa em profundidade e reduzem o impacto.
31. Glossário e referências oficiais
Termos essenciais.
Termo
Definição
Autenticação
Verificação da identidade de pessoa, dispositivo, serviço ou carga.
Autorização
Decisão sobre o que uma entidade autenticada pode fazer e em qual escopo.
Locatário
Limite dedicado do com identidades, aplicações e políticas.
Mecanismo contextual que converte sinais de entrada em aplicação de políticas.
do
Sistema do baseado em funções e escopos.
Modelo que verifica explicitamente, limita privilégios e pressupõe violação.
Defesa em profundidade
Camadas que impedem que a falha de um controle exponha os dados.
CSPM
Gerenciamento de postura para configuração, risco e conformidade multinuvem.
