Microsoft Entra, autenticação, identidades externas, Acesso Condicional, RBAC do Azure, Confiança Zero, defesa em camadas, criptografia e proteção na nuvem
Tempo sugerido: 78 minutos • Nível iniciante • Alinhado ao domínio de arquitetura e serviços do Azure do AZ-900
Por João Ricardo Dutra••Conteúdo original completo
1. Objetivos de identidade, acesso e segurança
Este capítulo conecta serviços de identidade do , autenticação, autorização, arquitetura de segurança, criptografia, gerenciamento de chaves e proteção da postura na nuvem. O objetivo é entender como esses controles se reforçam.
Diferenciar , e identidade híbrida.
Comparar , e métodos de .
Explicar identidades externas, e do .
Aplicar e defesa em profundidade.
Reconhecer criptografia, e .
Mapa de identidade, autenticação, autorização, , defesa em profundidade, criptografia e proteção na nuvem.
2. como diretório de nuvem
é o serviço da Microsoft para identidade e acesso na nuvem. Ele autentica identidades em serviços Microsoft, aplicativos de terceiros e aplicações criadas pela organização. O cliente controla contas e políticas, enquanto a Microsoft opera o diretório globalmente disponível.
Conectar o Active Directory local ao adiciona inteligência de nuvem às identidades. O serviço pode avaliar o comportamento de entrada e detectar tentativas suspeitas em dispositivos desconhecidos ou locais inesperados.
3. Quem usa o e o que ele oferece
Públicos do diretório e tarefas comuns.
Público
Uso típico
Administradores de TI
Controlar acesso conforme a carga e os requisitos de segurança
Desenvolvedores
Adicionar autenticação padronizada, e credenciais organizacionais existentes
Usuários
Manter a identidade e usar redefinição de senha de autoatendimento
Assinantes de serviços
Autenticar-se no , e serviços do Microsoft Dynamics
A autenticação inclui redefinição de senha de autoatendimento, , listas de senhas banidas e .
O gerenciamento de aplicativos inclui de Aplicativo, integração e o portal Meus Aplicativos.
O gerenciamento de dispositivos oferece registro e integração com .
O estado do dispositivo pode participar de políticas de .
4. Identidade híbrida com
Sem integração, o diretório local e o exigem conjuntos de identidade separados. O sincroniza informações entre e para oferecer experiência consistente em recursos locais e de nuvem.
O desenho híbrido pode estender , e redefinição de senha de autoatendimento, mantendo o diretório local para cargas que ainda dependem dele. É preciso definir fontes de autoridade e proteger contas administrativas.
Fluxo híbrido do Active Directory local pelo até e .
5.
fornece ingresso no domínio, Política de Grupo, LDAP e autenticação ou NTLM gerenciados. Assim, aplicativos legados incompatíveis com autenticação moderna podem migrar para o sem controladores de domínio próprios na nuvem.
Usuários e grupos do locatário tornam-se disponíveis no domínio gerenciado e usam credenciais existentes, facilitando a transição de aplicações que esperam serviços tradicionais de domínio.
6. Operação e sincronização do domínio gerenciado
O domínio começa com um exclusivo. O implanta dois controladores de domínio do Windows Server como conjunto de réplicas e administra configuração, atualização, backup e criptografia de disco em repouso.
A sincronização do para o domínio gerenciado é unidirecional. Objetos criados apenas nele não retornam. Em ambiente híbrido, o primeiro sincroniza o diretório local com o .
7. Força da autenticação e logon único
A autenticação comprova a identidade de uma pessoa, serviço ou dispositivo. Senhas, , e métodos sem senha equilibram conveniência e resistência de formas diferentes; métodos sem senha normalmente oferecem segurança forte e experiência mais simples.
permite que uma identidade acesse vários aplicativos confiáveis após uma entrada. Ele reduz proliferação de senhas, bloqueios, redefinições e trabalho de ciclo de vida. A segurança depende do autenticador inicial, pois as sessões seguintes herdam essa confiança.
Comparação entre senha, logon único, autenticação multifator e métodos sem senha.
8. Autenticação multifator
exige prova adicional para que uma senha roubada não baste. Os fatores correspondem a algo que o usuário sabe, possui ou é. Combinar categorias oferece proteção maior que repetir dois exemplos do mesmo tipo.
Categorias de fatores.
Categoria
Exemplos
Algo conhecido
Senha, PIN ou resposta a desafio
Algo possuído
Telefone registrado, notificação de aplicativo ou chave física
Algo inerente
Impressão digital ou reconhecimento facial
A autenticação multifator do pode pedir chamada telefônica, notificação do , chave de segurança ou outro método registrado. O pode exigir conforme identidade, dispositivo, local, aplicação ou risco.
9. no
A elimina a senha do acesso cotidiano e usa dispositivo confiável com PIN ou biometria. Após o registro, o usuário comprova posse localmente sem transmitir um segredo reutilizável como uma senha.
O módulo destaca Windows Hello para Empresas, e chaves de segurança FIDO2. Eles reduzem adivinhação, reutilização, roubo e , além de melhorar a experiência.
10. Windows Hello, e FIDO2
Métodos sem senha.
Método
Funcionamento
Uso indicado
Windows Hello para Empresas
Vincula PIN ou biometria ao PC do usuário e integra-se a e
Profissionais com dispositivo Windows designado
Envia correspondência numérica ao iOS ou Android e confirma com biometria ou PIN
Entrada móvel sem senha
Chave de segurança FIDO2
Usa autenticador WebAuthn resistente a por USB, NFC ou Bluetooth
Acesso portátil de alta garantia
A chave FIDO2 é registrada para o usuário e escolhida como método principal. O hardware realiza a prova criptográfica, portanto não existe senha reutilizável para ser exposta ou adivinhada.
Comparação entre Windows Hello para Empresas, e chaves de segurança FIDO2.
11. Identidades externas e o limite do locatário
Uma identidade externa pertence a pessoa, dispositivo ou serviço fora do locatário. A permite que parceiros, fornecedores, prestadores, clientes e consumidores usem identidades existentes, enquanto o locatário de recursos controla autorização e políticas.
O provedor externo autentica e a organização autoriza pelo ou capacidades para clientes. Podem ser usadas contas corporativas, identidades sociais como Google ou Facebook, contas Microsoft e identidades digitais governamentais compatíveis.
12. Colaboração B2B, conexão direta e identidade de clientes
Capacidades de identidade externa.
Capacidade
Representação e cenário
Colaboração B2B
O usuário externo entra com a identidade preferida e normalmente aparece como convidado
Conexão direta B2B
Dois locatários estabelecem confiança para canais compartilhados do Teams; o usuário permanece no locatário de origem
para clientes
Gerencia identidade e acesso de consumidores a ou aplicativos personalizados, não a aplicativos Microsoft
Participantes de conexão direta não são objetos convidados, mas aparecem no canal compartilhado e nos relatórios do Centro de administração do Teams. As capacidades podem ser combinadas conforme os recursos compartilhados.
Modelos de identidade externa para convidados B2B, conexão direta e aplicativos de clientes.
13. Governança do acesso de convidados
Administradores ou usuários autorizados podem convidar pessoas de outros locatários e identidades sociais compatíveis. O acesso não deve permanecer indefinidamente apenas porque um projeto o exigiu no passado.
As revisões de acesso pedem ao convidado ou responsável que confirme a necessidade. O oferece recomendações e, ao final, o acesso é mantido, ajustado ou removido.
14. : sinais, decisões e aplicação
O do avalia usuário, função, local, dispositivo, aplicativo, rede e risco. Durante a entrada, reúne contexto, toma a decisão da política e aplica o resultado: permitir, bloquear ou exigir controle adicional como .
Uma solicitação rotineira em dispositivo compatível e local conhecido pode prosseguir. Local estranho, equipamento não gerenciado, função privilegiada ou entrada arriscada podem exigir autenticação mais forte ou bloqueio.
Fluxo de dos sinais de identidade até permitir, bloquear ou exigir .
15. Cenários comuns de
Exigir de administradores, funções privilegiadas, aplicações sensíveis ou acessos fora de redes confiáveis.
Permitir um serviço somente por aplicativos cliente aprovados.
Exigir dispositivos gerenciados, seguros e em conformidade.
Bloquear locais desconhecidos, redes inesperadas, entradas arriscadas ou origens não confiáveis.
O equilibra produtividade e proteção ao adicionar atrito quando o contexto justifica. As políticas devem ser testadas para não bloquear contas de emergência ou cargas críticas.
16. do e privilégio mínimo
O do (controle de acesso baseado em função do ) autoriza ações sobre recursos do . Ele aplica privilégio mínimo ao definir o que uma entidade de segurança pode fazer e onde. Funções internas cobrem padrões comuns, e funções personalizadas representam tarefas específicas.
Atribuir funções a grupos simplifica integração e mudanças: um novo engenheiro recebe as permissões do grupo e as atribuições podem alcançar recursos novos. Uma função pode administrar, oferecer leitura ou conceder ações estreitas.
17. Escopos e herança do do
Hierarquia de escopos.
Escopo
Efeito da herança
Grupo de gerenciamento
Herda-se em assinaturas, grupos de recursos e recursos
Assinatura
Herda-se em todos os grupos e recursos da assinatura
Grupo de recursos
Herda-se nos recursos do grupo
Recurso
Aplica-se somente ao recurso selecionado
Proprietário em grupo de gerenciamento pode administrar assinaturas descendentes; Leitor em assinatura vê todos os grupos e recursos. Escolher o escopo é tão importante quanto escolher a função.
Atribuição do do formada por entidade, função e escopo hierárquico.
18. Como o do é aplicado
O do avalia operações de gerenciamento que passam pelo a partir do portal do ,, ou CLI do . Ele não protege automaticamente a autorização interna de uma aplicação nem todas as operações do plano de dados.
O modelo é aditivo e baseado em permissão. Se uma atribuição concede leitura e outra escrita no escopo efetivo, a entidade recebe ambas. A governança precisa examinar o resultado combinado e a herança.
19. Princípios de
começa assumindo que uma violação é possível e trata toda solicitação como se viesse de rede sem controle. Adapta-se ao trabalho móvel e a pessoas, dispositivos, aplicações e dados distribuídos sem confiar apenas pela localização interna.
Três princípios de .
Princípio
Significado prático
Verificar explicitamente
Autenticar e autorizar com dados de identidade, dispositivo, local, serviço e risco
Usar privilégio mínimo
Limitar acesso com controles Just-In-Time, Just-Enough-Access, adaptativos e proteção de dados
Pressupor violação
Segmentar, verificar criptografia de ponta a ponta, analisar atividade, detectar ameaças e reduzir impacto
Princípios de : verificar explicitamente, usar privilégio mínimo e pressupor violação.
20. na prática
Projetos tradicionais costumavam confiar em computadores gerenciados dentro da rede e restringir e dispositivos pessoais. troca confiança por localização por avaliação contínua e contextual.
Um usuário em rede pública e dispositivo não gerenciado pode acessar aplicações de baixo risco, receber em sistemas sensíveis ou ser bloqueado se o risco for alto. A decisão muda com os sinais.
21. Defesa em profundidade e suas camadas
Defesa em profundidade coloca salvaguardas independentes entre o invasor e os dados. Se um controle falhar, a próxima camada atrasa o avanço, limita a exposição e gera sinais para resposta manual ou automática.
O modelo inclui segurança física, identidade e acesso, perímetro, rede, computação, aplicação e dados. É uma orientação de decisões, não um produto único, e evita depender de uma só fronteira.
Sete camadas de defesa em profundidade protegendo os dados no centro.
22. Defesas física, de identidade e de perímetro
A segurança física protege prédios, hardware e ativos contra acesso, roubo ou perda.
Identidade e acesso protege contas, limita permissões de infraestrutura e mudanças, usa e e audita eventos.
O perímetro identifica ataques, usa proteção contra DDoS e firewalls para bloquear e alertar sobre atividade maliciosa.
23. Defesas de rede e computação
A rede segmenta recursos, nega por padrão, restringe entrada da Internet, limita saída e protege conectividade local.
A computação protege , implementa proteção de ponto de extremidade, remove malware e mantém sistemas atualizados.
A segmentação reduz a partir de um sistema comprometido. Caminhos administrativos seguros e correções atuais diminuem pontos de entrada exploráveis.
24. Defesas de aplicação e dados
A segurança da aplicação começa no ciclo de desenvolvimento, exige padrões seguros, elimina vulnerabilidades e mantém segredos fora do código.
A segurança dos dados protege confidencialidade, integridade e disponibilidade e aplica criptografia em repouso e em trânsito.
Invasores buscam bancos de dados, discos de , como e armazenamento de nuvem. Por isso os dados ficam no centro do modelo.
25. Criptografia em repouso e em trânsito
Criptografia torna a informação ilegível para pessoas não autorizadas. Em repouso protege bancos, discos e contas de armazenamento; em trânsito protege dados entre serviços, aplicações, e usuários. Uma arquitetura forte usa ambas.
Em uma aplicação com do e , registros de clientes devem permanecer criptografados armazenados e ao atravessar camadas ou conexões. A proteção também depende de identidade, autorização e chaves corretas.
26. Gerenciamento de chaves e segredos com
centraliza segredos como senhas e cadeias de conexão, chaves de criptografia e certificados. As aplicações recuperam os valores durante a execução em vez de guardar credenciais no código ou em arquivos de configuração.
Controlar e auditar quem pode ver ou usar chaves e segredos.
Separar responsabilidades de visualização, uso e rotação.
Girar chaves e alertar antes do vencimento para evitar interrupções.
Usar identidades gerenciadas para acessar sem credenciais codificadas.
Criptografia em repouso e em trânsito com segredos, chaves e certificados centralizados no .
27. Cobertura do
combina gerenciamento de postura de segurança e proteção contra ameaças. Ele monitora recursos do , locais, híbridos e multinuvem, recomenda melhorias e gera alertas.
Muitos serviços nativos do não exigem implantação extra; componentes de coleta podem ser adicionados para sinais mais profundos.
estende planos a servidores externos, enquanto o CSPM avalia recursos multinuvem.
A cobertura inclui ,, do ,, redes e plataformas de contêiner.
Na AWS, amplia recomendações, Defender para Contêineres para Amazon EKS e Defender para Servidores para EC2; também avalia e protege GCP.
Cobertura do no , ambiente local, AWS e GCP.
28. Avaliar, proteger e defender
Três funções do .
Função
Capacidades
Avaliar continuamente
Acompanhar postura e vulnerabilidades em máquinas, registros de contêiner, SQL, dados e infraestrutura
Proteger
Usar , parâmetro de comparação de segurança na nuvem da Microsoft, recomendações, controles e pontuação de segurança
Defender
Gerar alertas e proteção avançada para máquinas, bancos, contêineres, aplicações Web e redes
Defender para Servidores pode integrar-se ao e mostrar achados do . As políticas podem ser aplicadas no grupo de gerenciamento, assinatura ou locatário.
Alertas identificam recursos, sugerem correção, podem acionar um aplicativo lógico e ser exportados. A análise de cadeia de ataque correlaciona alertas. A proteção avançada inclui acesso Just-In-Time a VM, portas restritivas e controles adaptativos.
29. Avaliação do módulo com respostas explicadas
Verificação reformulada.
Pergunta
Resposta
Motivo
Qual controle altera exigências conforme localização e outros sinais?
Ele avalia contexto e permite, bloqueia ou exige autenticação adicional.
Qual modelo começa presumindo o pior cenário?
Ele pressupõe violação e verifica toda solicitação.
Uma entidade recebe leitura, escrita e leitura/escrita por funções diferentes. O que fica efetivo?
Leitura e escrita
As atribuições permissivas se somam no escopo efetivo.
Qual serviço armazena segredos, certificados e chaves?
Ele centraliza material protegido e acesso controlado em execução.
30. Resumo e prática com Copilot
estabelece e autentica identidades; e do decidem condições e escopo. e defesa em profundidade orientam o projeto; criptografia e protegem dados e chaves; avalia e defende cargas.
A fonte recomenda Microsoft Certified: Security, Compliance, and Identity Fundamentals. Também menciona pagamento conforme o uso e avaliação gratuita do por até 30 dias; confirme a oferta atual.
Explore com o Copilot Chat
Crie um cenário em que ,, e do se reforcem em .
Compare , e identidades externas com exemplos.
Simule um incidente e explique como criptografia, chaves, defesa em profundidade e reduzem o impacto.
31. Glossário e referências oficiais
Termos essenciais.
Termo
Definição
Autenticação
Verificação da identidade de pessoa, dispositivo, serviço ou carga.
Autorização
Decisão sobre o que uma entidade autenticada pode fazer e em qual escopo.
Locatário
Limite dedicado do com identidades, aplicações e políticas.
Mecanismo contextual que converte sinais de entrada em aplicação de políticas.
do
Sistema do baseado em funções e escopos.
Modelo que verifica explicitamente, limita privilégios e pressupõe violação.
Defesa em profundidade
Camadas que impedem que a falha de um controle exponha os dados.
CSPM
Gerenciamento de postura para configuração, risco e conformidade multinuvem.
