Acesso Condicional, RBAC e Acesso Seguro aos Recursos

radio_button_uncheckedshort_text Introdução

Os primeiros ambientes corporativos protegiam recursos principalmente com fronteiras físicas e de rede. Estar conectado à rede interna significava, muitas vezes, receber um nível elevado de confiança. Com a expansão da internet, da computação em nuvem, do trabalho remoto e dos dispositivos móveis, esse pressuposto se tornou frágil: usuários legítimos acessam recursos de qualquer lugar, enquanto atacantes podem operar de dentro de uma conta comprometida. A resposta moderna foi mover a decisão de acesso para um conjunto de sinais de identidade, dispositivo, risco e contexto.

Para o leitor, dominar esse tema significa aprender a transformar uma autenticação bem-sucedida em uma decisão de acesso proporcional ao risco. Para a sociedade, controles adaptativos reduzem fraudes, vazamentos e interrupções sem obrigar todas as pessoas a enfrentar o mesmo nível de atrito em todas as situações. Em vez de confiar cegamente em uma localização, a organização pode verificar explicitamente cada solicitação e conceder apenas o necessário.

Ao longo deste capítulo, três perguntas orientarão a leitura: quem pode entrar, o que essa identidade pode administrar e por qual caminho o recurso será acessado. Acesso Condicional responde à primeira pergunta com políticas contextuais; RBAC responde à segunda com funções e escopos; Global Secure Access amplia a terceira ao convergir identidade e segurança de rede. Essa separação é a chave para compreender o tema e acertar questões de cenário no SC-900.

radio_button_uncheckedshort_text 1. Da confiança na rede ao acesso orientado por identidade

No modelo tradicional, firewalls, segmentos internos e VPNs concentravam a proteção na fronteira da rede. Uma vez dentro, o usuário frequentemente alcançava vários sistemas. Esse desenho funcionava melhor quando aplicações e estações estavam no mesmo prédio ou data center. Na nuvem, os recursos podem estar distribuídos entre Microsoft 365 , Azure , aplicações SaaS, data centers locais e outras nuvens. O endereço de rede, sozinho, já não prova quem está usando o dispositivo nem se a sessão permanece segura.

O modelo Zero Trust substitui a confiança implícita por três princípios: verificar explicitamente, usar o menor privilégio e assumir violação. Verificar explicitamente significa considerar identidade, método de autenticação, dispositivo, aplicativo, rede, risco e sensibilidade do recurso. Menor privilégio limita o que a identidade pode fazer. Assumir violação leva a monitorar sessões e reduzir o alcance de uma credencial ou token comprometido.

Ideia central

A rede continua importante, mas deixa de ser a única fronteira. A decisão moderna combina identidade, contexto e recurso, podendo mudar de acordo com o risco da solicitação.

radio_button_uncheckedshort_text 2. Autenticação, Acesso Condicional e autorização

Autenticação confirma a identidade. O Acesso Condicional avalia se a solicitação deve prosseguir e quais requisitos adicionais precisam ser atendidos. Autorização determina as ações permitidas no recurso. Esses mecanismos se complementam, mas não são equivalentes. Um usuário pode provar quem é, satisfazer MFA e ainda assim receber acesso somente leitura por causa de sua função. Também pode ter uma função administrativa, mas ser bloqueado porque o dispositivo não está em conformidade.

radio_button_uncheckedshort_text 3. O que é Microsoft Entra Conditional Access

Microsoft Entra Conditional Access , ou Acesso Condicional , é o mecanismo de políticas Zero Trust do Microsoft Entra ID . Ele reúne sinais sobre a solicitação, toma uma decisão e aplica controles. A forma mais simples de descrevê-lo é uma declaração "se... então...": se determinada identidade tentar acessar determinado recurso em certo contexto, então bloqueie, conceda com requisitos adicionais ou limite a sessão.

A avaliação acontece depois que a autenticação de primeiro fator é concluída. Isso significa que o Acesso Condicional não substitui credenciais nem funciona como defesa primária contra ataques de negação de serviço. Ele usa a identidade já apresentada e outros sinais para decidir se a entrada pode continuar. Essa ordem é importante em questões de prova: primeiro há uma tentativa autenticada; depois as políticas são avaliadas; por fim o recurso aplica autorização e controles de sessão.

radio_button_uncheckedshort_text 4. Anatomia de uma política: atribuições e controles

Uma política possui dois grandes lados. As atribuições definem a quem e a que a política se aplica, incluindo identidades, recursos-alvo e condições. Os controles de acesso definem o resultado: bloquear, conceder mediante requisitos ou restringir a sessão. Para que uma política seja aplicável, suas atribuições devem corresponder ao cenário de entrada.

Em uma política simples, um administrador seleciona usuários ou grupos, escolhe um aplicativo e exige MFA . Em uma política mais refinada, pode incluir todas as identidades administrativas, excluir contas de emergência, aplicar somente ao portal de gerenciamento, avaliar rede e dispositivo e exigir uma força de autenticação resistente a phishing.

radio_button_uncheckedshort_text 5. Identidades incluídas e excluídas

A política pode ser direcionada a todos os usuários, pessoas específicas, grupos, funções de diretório, convidados e usuários externos. Determinados cenários também permitem políticas para identidades de carga de trabalho, como entidades de serviço, com recursos e licenciamento apropriados. O escopo deve ser amplo o suficiente para cobrir o risco, mas controlado o suficiente para ser testado.

Exclusões precisam ser usadas com intenção. Uma prática crítica é manter contas de acesso de emergência, conhecidas como break-glass, fora de políticas capazes de bloquear todos os administradores. Essas contas não são atalhos para uso cotidiano: devem ser fortemente protegidas, monitoradas e utilizadas somente para recuperação. Contas de serviço e sincronização também exigem análise, pois fluxos não interativos podem não satisfazer controles projetados para pessoas.

Armadilha comum

Excluir muitos usuários para evitar problemas reduz a cobertura da política. Excluir ninguém em uma política de bloqueio pode causar lockout. O objetivo é usar exclusões mínimas, justificadas e monitoradas.

radio_button_uncheckedshort_text 6. Recursos-alvo e ações protegidas

Recursos-alvo são as aplicações, serviços ou ações aos quais os controles serão aplicados. O Microsoft Entra permite selecionar todos os recursos, aplicações específicas, aplicações integradas, aplicações publicadas por Application Proxy e outros alvos compatíveis. O termo atual "target resources" substitui referências mais antigas a "cloud apps", mas a ideia permanece: a política precisa saber o que está sendo protegido.

Também é possível proteger ações, como o registro de informações de segurança, e usar contexto de autenticação para elevar a proteção de uma operação sensível dentro de um aplicativo. Global Secure Access adiciona perfis de encaminhamento de tráfego como alvos, permitindo aplicar controles a tráfego Microsoft, internet e recursos privados.

radio_button_uncheckedshort_text 7. Condições: o contexto da solicitação

Condições refinam quando uma política será acionada. Elas não concedem permissão; descrevem o contexto que torna a política relevante. Quanto mais sinais são combinados, mais específica se torna a decisão. Entretanto, uma política excessivamente complexa é difícil de testar e solucionar. Em projetos reais, é comum preferir políticas menores, com objetivo claro e nomenclatura consistente.

radio_button_uncheckedshort_text 8. Localização não é sinônimo de segurança

O Acesso Condicional pode usar intervalos de IP , países, regiões e locais nomeados. Um local pode ser marcado como confiável, mas isso não transforma automaticamente todo acesso originado dali em seguro. Endereços podem ser compartilhados, redes podem ser comprometidas e usuários podem trabalhar fora do escritório. A localização deve ser um sinal adicional, não uma prova absoluta de identidade.

Uma política pode bloquear países onde a organização não opera ou exigir MFA fora de redes conhecidas. Ainda assim, decisões mais fortes combinam localização com método de autenticação, conformidade do dispositivo e risco. Global Secure Access acrescenta a ideia de rede em conformidade, comprovando que o tráfego passou pelo serviço do tenant e por suas políticas de rede.

radio_button_uncheckedshort_text 9. Risco de usuário e risco de entrada

Risco de usuário expressa a probabilidade de a identidade ter sido comprometida, por exemplo após detecção de credenciais vazadas ou comportamento anômalo. Risco de entrada expressa a probabilidade de uma solicitação específica não ter sido feita pelo proprietário legítimo. Ambos são sinais produzidos pelo Microsoft Entra ID Protection e exigem recursos de licenciamento correspondentes para políticas baseadas em risco.

Uma organização pode exigir MFA quando o risco de entrada é médio ou alto e solicitar uma alteração segura de senha quando o risco de usuário indica comprometimento. O controle de alteração de senha possui combinações e requisitos específicos; no nível fundamental, memorize o objetivo: MFA prova novamente a identidade diante de uma entrada suspeita, enquanto a alteração segura de senha ajuda a remediar uma conta comprometida.

radio_button_uncheckedshort_text 10. Controles de concessão

Controles de concessão determinam o que precisa ocorrer para que o acesso seja permitido. O administrador pode bloquear diretamente ou conceder mediante um ou mais requisitos. Quando vários controles são selecionados dentro da mesma política, é possível exigir todos ou pelo menos um, conforme a configuração. Além disso, várias políticas podem atingir a mesma entrada e todas as políticas aplicáveis precisam ser satisfeitas.

radio_button_uncheckedshort_text 11. Dispositivo em conformidade e dispositivo híbrido ingressado

Um dispositivo em conformidade é avaliado por uma solução de gerenciamento, normalmente o Microsoft Intune , segundo regras como versão do sistema, criptografia, bloqueio de tela e ausência de ameaças. O Intune envia o estado ao Microsoft Entra ID , e o Acesso Condicional usa esse sinal. A política não realiza a correção do dispositivo; ela exige que o requisito de conformidade já seja atendido.

Um dispositivo Microsoft Entra hybrid joined possui relação com o Active Directory local e registro no Microsoft Entra ID . Exigir esse estado é diferente de exigir conformidade. Um dispositivo pode ter identidade híbrida e ainda falhar em uma política de conformidade. Em questões, procure a palavra-chave: "gerenciado e saudável" aponta para conformidade; "associado ao domínio local e registrado na nuvem" aponta para hybrid join.

radio_button_uncheckedshort_text 12. Controles de sessão

Controles de sessão atuam depois que o acesso é concedido e limitam a experiência ou a duração da sessão. Eles ajudam a reduzir exposição sem bloquear completamente o trabalho. Exemplos incluem frequência de entrada, sessão persistente do navegador, restrições aplicadas pelo aplicativo e Conditional Access App Control com Microsoft Defender for Cloud Apps.

A frequência de entrada define quando o usuário precisa se autenticar novamente. A sessão persistente controla se o navegador pode permanecer conectado após ser fechado. Restrições aplicadas pelo aplicativo podem oferecer uma experiência limitada, como acesso somente pela web. O Defender for Cloud Apps pode monitorar a sessão e bloquear download, cópia ou impressão de conteúdo sensível. Recursos atuais também incluem proteção de token , personalização de Continuous Access Evaluation e uso de perfis de segurança do Global Secure Access .

radio_button_uncheckedshort_text 13. Como várias políticas são avaliadas

O Microsoft Entra avalia todas as políticas aplicáveis à solicitação. Elas não são processadas como uma lista em que a primeira substitui as demais. Se uma política exige MFA e outra exige dispositivo em conformidade, o usuário precisa satisfazer ambos. Se uma política aplicável bloqueia o acesso, a solicitação é bloqueada mesmo que outra política conceda acesso com requisitos.

Dentro de uma única política, os controles de concessão podem ser combinados por "exigir todos" ou "exigir um". Fora dela, requisitos de políticas diferentes se acumulam. Essa diferença explica muitos erros de projeto: dois controles configurados como alternativa na mesma política não anulam um requisito adicional de outra política.

Regra de memorização

Políticas aplicáveis se acumulam. Bloqueio vence. Requisitos de políticas diferentes precisam ser satisfeitos em conjunto.

radio_button_uncheckedshort_text 14. Implantação segura, report-only e ferramenta What If

Acesso Condicional é poderoso o bastante para bloquear toda a organização. Por isso, a implantação deve ser gradual: definir objetivo, identificar dependências, criar grupo piloto, excluir contas de emergência, usar modo report-only, revisar logs e só então ativar. O modo report-only avalia o que aconteceria sem exigir os controles ao usuário, permitindo medir impacto antes da aplicação real.

A ferramenta What If simula uma entrada com identidade, recurso, plataforma, aplicativo cliente e outras condições. Ela mostra políticas aplicáveis, políticas não aplicáveis e requisitos de concessão ou sessão. Logs de entrada exibem o resultado por política e ajudam a distinguir falha de autenticação, bloqueio de política e ausência de autorização no recurso.

1. Defina o risco e o resultado esperado em uma frase.
2. Escolha identidades e recursos-alvo; mantenha contas de emergência excluídas.
3. Adicione somente as condições necessárias para o objetivo.
4. Selecione controles de concessão ou sessão e confirme a lógica "todos" ou "um".
5. Coloque a política em report-only e teste com usuários piloto.
6. Use What If, logs de entrada e relatórios para analisar impacto.
7. Ative por etapas, monitore e mantenha um procedimento de reversão.

radio_button_uncheckedshort_text 15. Cenários clássicos de Acesso Condicional

radio_button_uncheckedshort_text 16. O que é controle de acesso baseado em função ( RBAC )

Role-Based Access Control, ou RBAC , é um modelo de autorização no qual permissões são agrupadas em funções e atribuídas a identidades em um escopo . Em vez de conceder dezenas de permissões diretamente a cada pessoa, a organização cria ou utiliza funções coerentes com responsabilidades de trabalho. Isso simplifica administração, auditoria e remoção de acesso.

Uma atribuição de função combina três elementos: principal de segurança , definição de função e escopo . O principal é quem recebe o acesso; a definição é o conjunto de permissões; o escopo é onde elas valem. A atribuição é o vínculo que reúne os três. Remover a atribuição revoga aquele caminho de acesso.

radio_button_uncheckedshort_text 17. Principais de segurança e definições de função

Um principal de segurança pode ser um usuário, grupo, entidade de serviço ou identidade gerenciada. Usar grupos reduz atribuições individuais e facilita mudanças de equipe. Entidades de serviço e identidades gerenciadas permitem que aplicações e automações recebam somente as permissões necessárias, evitando o uso de contas pessoais em código.

A definição de função reúne ações permitidas. Funções internas atendem a cenários comuns; funções personalizadas permitem selecionar permissões específicas quando as internas são amplas ou insuficientes. Criar funções personalizadas aumenta a precisão, mas também a responsabilidade de manter e revisar permissões conforme serviços evoluem.

radio_button_uncheckedshort_text 18. Microsoft Entra roles

Funções do Microsoft Entra controlam tarefas administrativas sobre recursos do diretório, como usuários, grupos, aplicativos, métodos de autenticação, políticas e funções. Exemplos incluem Global Administrator, User Administrator, Application Administrator e Conditional Access Administrator. Elas operam principalmente no plano de identidade e usam permissões expostas pelo Microsoft Graph .

O escopo pode ser o tenant inteiro, uma unidade administrativa ou, para funções compatíveis, um objeto específico, como uma aplicação. Unidades administrativas permitem delegar tarefas a uma parte da organização: um administrador regional pode gerenciar somente usuários e grupos daquela região. Nem todas as funções ou configurações podem ser limitadas por unidade administrativa, portanto o escopo precisa ser verificado.

Menor privilégio em Entra

Prefira a função especializada que atende à tarefa. Global Administrator deve ser raro, protegido e, idealmente, ativado somente quando necessário por meio de PIM , tema aprofundado no próximo capítulo.

radio_button_uncheckedshort_text 19. Azure RBAC e os escopos de recursos

Azure RBAC é o sistema de autorização baseado no Azure Resource Manager para recursos como máquinas virtuais, redes, cofres, bancos de dados e contas de armazenamento. Funções amplas incluem Owner, Contributor e Reader. Owner gerencia recursos e atribuições de acesso; Contributor gerencia recursos, mas não atribui funções; Reader apenas visualiza. Há funções específicas por serviço, que normalmente atendem melhor ao menor privilégio.

Os quatro níveis principais de escopo são management group, assinatura, grupo de recursos e recurso. A atribuição em um nível superior é herdada pelos níveis inferiores. Assim, conceder Contributor na assinatura é muito mais amplo que conceder Virtual Machine Contributor a uma máquina ou grupo de recursos. Azure RBAC é predominantemente aditivo: permissões efetivas resultam da soma de atribuições, embora deny assignments e condições possam limitar ações em cenários específicos.

radio_button_uncheckedshort_text 20. Funções do Microsoft Entra x funções do Azure

Os nomes "função" e " RBAC " aparecem nos dois sistemas, mas eles protegem tipos diferentes de recursos. Funções do Microsoft Entra administram o diretório e identidades. Funções do Azure administram recursos da assinatura por meio do Azure Resource Manager. Uma pessoa pode ser User Administrator no Entra e Reader em um grupo de recursos, ou ter somente uma dessas funções.

Por padrão, Global Administrator não recebe acesso automático aos recursos do Azure . Da mesma forma, ser Owner de uma assinatura não torna a pessoa Global Administrator do tenant. Existe um mecanismo de elevação para recuperação de acesso, mas ele é uma ação explícita e altamente privilegiada. Para o SC-900, a resposta correta normalmente depende de identificar o objeto gerenciado: usuário, grupo ou aplicativo aponta para Entra role; VM, rede ou armazenamento aponta para Azure role.

radio_button_uncheckedshort_text 21. O princípio do menor privilégio

Menor privilégio significa conceder somente as permissões necessárias, no menor escopo e pelo menor período adequado. Uma atribuição pode ser tecnicamente funcional e ainda ser insegura. Dar Owner em uma assinatura a quem precisa reiniciar uma máquina resolve a tarefa, mas cria capacidade de alterar recursos e conceder acesso muito além da necessidade.

radio_button_uncheckedshort_text 22. De SSE a SASE : segurança de acesso entregue pela nuvem

Security Service Edge, SSE , é uma categoria de segurança que entrega controles de acesso e proteção de tráfego pela nuvem. Ela aproxima políticas do usuário e do recurso, independentemente do escritório em que a pessoa esteja. Secure Access Service Edge, SASE , é uma arquitetura mais ampla que combina capacidades de segurança SSE com conectividade de rede de longa distância, como SD-WAN.

No ecossistema Microsoft, Microsoft Entra Internet Access e Microsoft Entra Private Access formam a solução SSE e são unificados sob Global Secure Access no centro de administração do Microsoft Entra . A proposta é convergir sinais de identidade, dispositivo e rede, usando políticas consistentes para recursos Microsoft, internet, SaaS e aplicações privadas.

radio_button_uncheckedshort_text 23. Microsoft Entra Internet Access

Microsoft Entra Internet Access protege acesso à internet e aplicações SaaS com um Secure Web Gateway , ou SWG , baseado em identidade. O tráfego pode ser adquirido por um cliente instalado no dispositivo ou por uma rede remota, como uma filial. Políticas podem bloquear conteúdo malicioso, restringir categorias de sites e registrar destinos, usuários, dispositivos e regras aplicadas.

A integração com Acesso Condicional permite usar contexto de identidade, risco, dispositivo e rede em decisões que alcançam destinos de internet, inclusive serviços que não estão federados diretamente ao Microsoft Entra ID . O serviço também possui perfil para tráfego Microsoft, com controles como verificação de rede em conformidade, restrições universais de tenant e registros enriquecidos.

Palavra-chave de prova

Internet Access está associado a internet pública, aplicações SaaS, Secure Web Gateway , filtragem de conteúdo e políticas de rede orientadas por identidade.

radio_button_uncheckedshort_text 24. Microsoft Entra Private Access

Microsoft Entra Private Access oferece acesso Zero Trust a aplicações e recursos privados em data centers, ambientes híbridos e multinuvem. Em vez de abrir conectividade ampla para a rede, a organização pode conceder acesso por aplicação, FQDN, intervalo de IP , porta e protocolo. O serviço utiliza conectores de rede privada e o cliente do Global Secure Access para encaminhar o tráfego autorizado.

O objetivo é modernizar ou substituir cenários de VPN com uma abordagem ZTNA , Zero Trust Network Access. Uma VPN tradicional frequentemente coloca o dispositivo dentro de um segmento de rede; Private Access procura conectar a identidade somente aos recursos autorizados. Quick Access cobre conjuntos mais amplos de endereços internos, enquanto aplicações de Private Access permitem segmentação por aplicativo.

Palavra-chave de prova

Private Access está associado a aplicações privadas, recursos internos, acesso por aplicativo, ZTNA e redução da dependência de VPN ampla.

radio_button_uncheckedshort_text 25. Como Acesso Condicional e Global Secure Access se unem

Acesso Condicional decide quais requisitos a identidade precisa satisfazer. Global Secure Access adquire e encaminha tráfego, aplica políticas de rede e fornece sinais adicionais. Juntos, eles criam uma política que acompanha a solicitação do usuário ao destino. Um aplicativo privado pode exigir MFA e dispositivo em conformidade; um destino de internet pode receber um perfil de segurança; um serviço Microsoft pode exigir que o tráfego venha de uma rede em conformidade.

Essa integração reduz a separação histórica entre equipes de identidade e rede. Ainda assim, os controles continuam tendo funções diferentes: Acesso Condicional não substitui filtragem de conteúdo, e o SWG não substitui uma função de autorização no aplicativo. A arquitetura segura combina camadas, logs e responsabilidades claras.

radio_button_uncheckedshort_text 26. Cenário prático integrado

Considere a empresa Contoso Finance, com Microsoft 365 , recursos do Azure e um sistema financeiro hospedado no data center local. Analistas trabalham no escritório e remotamente. Administradores precisam gerenciar identidades e infraestrutura, mas a empresa quer reduzir privilégios permanentes, impedir acesso por dispositivos inseguros e substituir a VPN ampla do sistema financeiro.

26.1 Desenho de acesso

• Todos os usuários recebem uma política base que bloqueia autenticação herdada.
• O aplicativo financeiro exige MFA e dispositivo em conformidade.
• Entradas com risco elevado são bloqueadas ou encaminhadas para remediação, conforme a política.
• Administradores são alvo de uma política separada com força de autenticação resistente a phishing.
• Contas de emergência são excluídas das políticas de bloqueio, protegidas e monitoradas.
• Analistas recebem somente a função de negócio no aplicativo; não recebem funções administrativas.
• A equipe de identidade recebe funções especializadas do Microsoft Entra , não Global Administrator permanente.
• A equipe de infraestrutura recebe funções Azure específicas no grupo de recursos correspondente.
• Microsoft Entra Private Access publica o sistema financeiro por aplicativo, sem dar acesso geral à rede interna.
• Microsoft Entra Internet Access protege navegação e aplicações SaaS com políticas e logs de rede.

26.2 Como analisar a solicitação de um usuário

1. O usuário se autentica no Microsoft Entra ID .
2. Acesso Condicional identifica usuário, aplicativo, rede, dispositivo e sinais de risco.
3. A política exige MFA e conformidade; todas as políticas aplicáveis precisam ser satisfeitas.
4. Global Secure Access encaminha somente o tráfego autorizado para a aplicação privada.
5. O aplicativo ou Azure RBAC verifica a função e o escopo para decidir quais ações são permitidas.
6. Logs de entrada, tráfego e auditoria registram a decisão e as atividades.

Lógica para questões de cenário

Pergunte em ordem: a identidade foi autenticada? A política permite a entrada? A função autoriza a ação? O caminho de rede entrega somente o recurso necessário?

radio_button_uncheckedshort_text 27. Armadilhas conceituais frequentes

• Acesso Condicional é avaliado após a autenticação de primeiro fator; ele não substitui o método de autenticação.
• MFA confirma com mais garantia quem é o usuário; RBAC decide o que ele pode fazer.
• Dispositivo em conformidade e dispositivo híbrido ingressado são condições diferentes.
• Local confiável é um sinal, não uma garantia absoluta de segurança.
• Várias políticas aplicáveis se acumulam; uma política de bloqueio não é anulada por outra de concessão.
• Dentro de uma política, "exigir um" é OR; "exigir todos" é AND.
• Report-only avalia impacto, mas não força o usuário a satisfazer os controles.
• Funções do Microsoft Entra não administram automaticamente VMs e armazenamento.
• Funções do Azure não tornam o usuário administrador global do tenant.
• Owner é mais amplo que Contributor porque também gerencia atribuições de acesso.
• Internet Access protege internet e SaaS; Private Access protege recursos internos e privados.
• SSE é a camada de segurança; SASE inclui também a arquitetura de conectividade de rede.

radio_button_uncheckedshort_text 28. Revisão rápida para o SC-900

Resumo em uma frase

Acesso Condicional decide em quais condições a identidade entra; RBAC limita as ações no escopo ; Global Secure Access leva essas decisões a recursos Microsoft, internet e aplicações privadas.

radio_button_uncheckedshort_text 29. Conclusão

O controle de acesso moderno não depende de uma única senha, rede ou função. Ele combina sinais sobre identidade, dispositivo, localização, aplicação e risco. Microsoft Entra Conditional Access transforma esses sinais em decisões adaptativas: bloquear, exigir MFA , solicitar autenticação mais forte, exigir conformidade, remediar risco ou limitar a sessão. O valor está em aplicar proteção proporcional, evitando tanto confiança excessiva quanto atrito desnecessário.

RBAC complementa essa decisão ao limitar o que a identidade autenticada pode fazer. Principal, função e escopo formam uma atribuição ; menor privilégio reduz os três ao necessário. Diferenciar funções do Microsoft Entra e funções do Azure evita um dos erros mais comuns: confundir administração do diretório com administração de recursos da nuvem.

Global Secure Access amplia o mesmo raciocínio para a rede. Internet Access protege tráfego público e SaaS com um SWG orientado por identidade; Private Access oferece ZTNA por aplicativo para recursos internos. Minha avaliação é que a grande evolução deste capítulo é a convergência: identidade, autorização e conectividade deixam de ser silos e passam a participar de uma decisão contínua. Para o exame, memorizar finalidades é essencial; para a prática, o objetivo é criar políticas simples, testáveis, auditáveis e coerentes com Zero Trust.

Próximo passo da trilha

Depois de controlar condições e permissões, o próximo capítulo aprofunda governança, acesso privilegiado, revisões de acesso, PIM e proteção de identidades baseada em risco.

radio_button_uncheckedshort_text 30. Questões de revisão

1. Uma empresa quer permitir acesso ao sistema financeiro somente quando o usuário concluir MFA e estiver em um dispositivo em conformidade. Qual recurso atende diretamente ao requisito?

• A) Uma função Reader do Azure aplicada à assinatura.
• B) Uma política de Acesso Condicional com os dois controles de concessão exigidos.
• C) Microsoft Entra Private Access sem qualquer política de identidade.
• D) Uma unidade administrativa no Microsoft Entra ID .

Gabarito comentado

Resposta correta: B. Acesso Condicional combina identidade e recurso com controles de concessão. A política deve exigir todos os controles selecionados para que MFA e conformidade sejam obrigatórios.

2. Qual afirmação diferencia corretamente funções do Microsoft Entra e funções do Azure ?

• A) Funções do Microsoft Entra gerenciam recursos como VMs, e funções do Azure gerenciam usuários.
• B) As duas funções são equivalentes e sempre se aplicam ao mesmo escopo .
• C) Funções do Microsoft Entra administram recursos do diretório; funções do Azure administram recursos via Azure Resource Manager.
• D) Global Administrator é automaticamente Owner de todas as assinaturas.

Gabarito comentado

Resposta correta: C. Os sistemas usam conceitos de função e atribuição , mas protegem planos diferentes. Por padrão, uma função não concede permissões no outro sistema.

3. Uma organização quer avaliar o impacto de uma nova política de bloqueio antes de afetar os usuários. Qual combinação é mais apropriada?

• A) Ativar a política para todos e aguardar chamados.
• B) Usar report-only, ferramenta What If e logs de entrada.
• C) Atribuir Global Administrator aos usuários piloto.
• D) Substituir Acesso Condicional por uma função RBAC .

Gabarito comentado

Resposta correta: B. Report-only calcula o resultado sem impor os requisitos, What If simula cenários e os logs mostram políticas aplicadas e resultados.

4. Qual serviço está mais diretamente associado a acesso por aplicativo a recursos privados sem conceder conectividade ampla de VPN ?

• A) Microsoft Entra Internet Access.
• B) Azure RBAC .
• C) Microsoft Entra Private Access.
• D) Microsoft Entra User Administrator.

Gabarito comentado

Resposta correta: C. Private Access é a capacidade ZTNA do Global Secure Access voltada a aplicações e recursos privados, com controle granular por aplicativo, endereço, porta e protocolo.

radio_button_uncheckedshort_text Glossário essencial

radio_button_uncheckedshort_text Referências oficiais e notas de atualização

O conteúdo foi elaborado com base no plano de estudos fornecido e em documentação oficial da Microsoft consultada em 23 de julho de 2026. Serviços em nuvem, nomes de controles, licenciamento e recursos em preview podem mudar; valide a documentação antes de uma implantação.

• Microsoft Learn - Guia de estudos do exame SC-900
• Microsoft Learn - Describe access management capabilities of Microsoft Entra
• Microsoft Learn - Visão geral do Microsoft Entra Conditional Access
• Microsoft Learn - Construir uma política de Acesso Condicional
• Microsoft Learn - Condições do Acesso Condicional
• Microsoft Learn - Controles de concessão
• Microsoft Learn - Controles de sessão
• Microsoft Learn - Modo report-only
• Microsoft Learn - Ferramenta What If
• Microsoft Learn - Visão geral do Azure RBAC
• Microsoft Learn - Funções do Azure e funções do Microsoft Entra
• Microsoft Learn - Visão geral do Microsoft Entra RBAC
• Microsoft Learn - Boas práticas para funções do Microsoft Entra
• Microsoft Learn - Visão geral do Global Secure Access
• Microsoft Learn - Microsoft Entra Private Access

Fontes oficiais consultadas em 23 de julho de 2026. Como os serviços de nuvem evoluem continuamente, detalhes de licenciamento, disponibilidade regional, nomes de menus e recursos em versão preliminar devem ser confirmados na documentação atual antes de uma implementação real.