Identidade como o Novo Perímetro de Segurança

radio_button_uncheckedshort_text 1. Introdução

A gestão de identidade nasceu da necessidade de responder a uma pergunta simples: quem está tentando utilizar um sistema? Nos primeiros computadores, poucos operadores trabalhavam em ambientes fisicamente controlados. À medida que os sistemas passaram a atender centenas ou milhares de pessoas, surgiram contas de usuário, senhas, diretórios centralizados e mecanismos de controle de acesso. A popularização da Internet, da computação em nuvem e dos aplicativos móveis transformou esse problema em uma disciplina estratégica conhecida como Identity and Access Management (IAM), ou gerenciamento de identidades e acessos.

Esse conhecimento contribui diretamente para a proteção de empresas, governos e cidadãos. Quando uma organização administra identidades de forma centralizada, consegue reduzir contas esquecidas, aplicar políticas consistentes, remover acessos rapidamente e oferecer serviços digitais mais seguros. Para o leitor, compreender identidade é aprender a observar a segurança pelo ponto de vista de quem solicita acesso, de qual recurso está sendo solicitado e de quais evidências devem ser verificadas antes de permitir a ação.

Ao longo deste capítulo, a ideia de “identidade como o novo perímetro” deixará de parecer apenas um slogan. Você verá como autenticação, autorização, diretórios, provedores de identidade, tokens , SSO e federação formam uma cadeia lógica. Quando essa cadeia é bem compreendida, muitos cenários do SC-900 tornam-se previsíveis: basta descobrir quem afirma a identidade, quem a verifica, quem confia no resultado e quem decide o que pode ser feito.

radio_button_uncheckedshort_text 2. Breve evolução da identidade digital

No início da computação corporativa, a segurança dependia principalmente de barreiras físicas e do controle da rede interna. Um usuário que estivesse dentro do prédio, conectado ao domínio e utilizando um equipamento corporativo era frequentemente tratado como confiável. O Active Directory Domain Services , introduzido pela Microsoft com o Windows 2000, consolidou contas, computadores, grupos, políticas e autenticação em domínios locais. Ele resolveu um desafio central da época: administrar de maneira uniforme muitos recursos de uma infraestrutura baseada em Windows.

A Internet e os aplicativos SaaS romperam a correspondência entre “estar na rede” e “ser confiável”. Usuários passaram a acessar dados de casa, de dispositivos móveis, de redes públicas e de organizações parceiras. Aplicações passaram a existir fora do datacenter. APIs e serviços automatizados começaram a agir sem uma pessoa presente. Nesse contexto, o endereço IP e a localização física já não eram suficientes para representar confiança. A identidade tornou-se o elemento comum entre todas essas interações.

A mudança não elimina firewalls, segmentação ou controles de rede. Ela altera a ordem de prioridade: a identidade é a primeira linha de decisão, enquanto a rede funciona como proteção complementar. Em uma arquitetura moderna, cada solicitação é avaliada de acordo com o sujeito, o dispositivo, a aplicação, o risco, o recurso e o contexto. Esse raciocínio aproxima identidade dos princípios de Zero Trust e do menor privilégio.

radio_button_uncheckedshort_text 3. O que é identidade digital

Identidade digital é a representação eletrônica de uma entidade dentro de um sistema. A entidade pode ser uma pessoa, um dispositivo, uma aplicação, um serviço, uma carga de trabalho ou, em soluções atuais, um agente de inteligência artificial. Essa representação contém um identificador e um conjunto de atributos que permitem diferenciar a entidade das demais e tomar decisões de acesso.

Uma identidade não é apenas um nome de usuário. Ela pode conter identificador único, nome de exibição, endereço de e-mail, cargo, departamento, grupos, funções, dispositivos registrados, métodos de autenticação, status da conta e relações com aplicações. Alguns atributos descrevem a entidade; outros influenciam diretamente as permissões. A qualidade, a atualização e a proteção desses atributos afetam toda a segurança do ambiente.

Princípio importante

Uma identidade descreve quem ou o que está agindo. Uma credencial é apenas um dos meios usados para demonstrar que a entidade controla essa identidade. Trocar a senha não cria uma nova identidade; altera uma credencial associada a ela.

radio_button_uncheckedshort_text 4. Identificação, autenticação, autorização e administração

4.1 Identificação

Identificação é o ato de uma entidade declarar quem é. Ao digitar joao@empresa.com, selecionar um certificado ou apresentar um identificador de aplicação, o solicitante informa qual identidade deseja utilizar. A identificação, isoladamente, não prova nada. Qualquer pessoa pode escrever o nome de outra; por isso ela precisa ser seguida da autenticação.

4.2 Autenticação

Autenticação é o processo de verificar se a entidade realmente é quem afirma ser. O sistema valida uma ou mais evidências: algo que a pessoa sabe, como uma senha; algo que possui, como um telefone, token ou chave; algo que é, como uma característica biométrica; ou um elemento criptográfico, como um certificado. Quando a verificação é bem-sucedida, o sistema estabelece uma sessão ou emite um token que representa o resultado.

Autenticar não significa permitir qualquer ação. A autenticação apenas fornece um nível de confiança sobre a identidade. Um usuário pode estar autenticado e ainda assim não ter permissão para abrir um relatório, alterar uma configuração ou acessar um determinado tenant.

4.3 Autorização

Autorização é a decisão sobre o que uma identidade autenticada pode fazer. Essa decisão pode considerar funções, grupos, políticas, escopos, propriedade do recurso, classificação do dado e condições do contexto. O resultado normalmente permite ou nega uma ação. Em sistemas modernos, a autorização também pode exigir autenticação mais forte, limitar uma sessão ou solicitar aprovação.

Uma forma simples de memorizar é: autenticação responde “quem é você?”; autorização responde “o que você pode fazer?”. A ordem lógica é autenticar primeiro e autorizar depois, embora aplicações possam avaliar parte da política antes de iniciar o processo de entrada.

4.4 Administração de identidades

Administração de identidades é o conjunto de processos usados para criar, manter, provisionar, revisar e remover identidades e acessos. Ela inclui cadastro de usuários, grupos, funções, credenciais, dispositivos, aplicações, convidados e contas de serviço. Também cobre mudanças de cargo, transferências entre áreas, afastamentos, expiração de acesso e desligamentos.

O termo gerenciamento de identidades e acessos (IAM) é mais amplo: combina administração, autenticação, autorização, governança, auditoria e proteção. Uma organização pode ter autenticação tecnicamente forte e ainda apresentar alto risco se não remover rapidamente contas de ex-funcionários ou se mantiver permissões incompatíveis com as funções atuais.

radio_button_uncheckedshort_text 5. Por que a identidade é o novo perímetro

O perímetro tradicional era uma fronteira de rede: de um lado, a rede interna; do outro, a Internet. Esse modelo funcionava melhor quando aplicações, dados, usuários e dispositivos estavam no mesmo local. Hoje, aplicações corporativas são distribuídas entre Azure , Microsoft 365 , outros provedores e datacenters locais. Pessoas trabalham de qualquer lugar e parceiros precisam colaborar sem fazer parte da rede interna. A fronteira deixou de ser fixa.

A identidade permanece presente em todos esses cenários. É possível avaliar a identidade de uma pessoa que acessa um aplicativo SaaS, de uma máquina virtual que chama um serviço, de uma aplicação que consome uma API ou de um convidado de outra organização. Por isso, controles e detecções são centralizados em torno das identidades. A decisão não depende apenas de onde a solicitação veio, mas de quem está solicitando, de qual dispositivo, com que nível de risco e para qual recurso.

• Aplicações e dados estão fora da rede corporativa tradicional.
• Dispositivos pessoais e móveis tornam a localização menos confiável.
• Usuários externos e parceiros precisam acessar recursos específicos.
• Serviços automatizados e APIs exigem identidades próprias.
• Credenciais roubadas podem permitir acesso remoto sem violar um firewall.
• Uma identidade central permite aplicar políticas e auditoria de maneira consistente.

Relação com Zero Trust

Tratar identidade como perímetro não significa confiar automaticamente em quem possui uma conta. Pelo contrário: cada solicitação deve ser verificada explicitamente, receber o menor privilégio necessário e ser monitorada sob a suposição de que uma violação pode ocorrer.

radio_button_uncheckedshort_text 6. Infraestrutura de identidade e seus pilares

Uma infraestrutura de identidade é o conjunto de serviços, processos, políticas e integrações que sustenta o ciclo de vida e as decisões de acesso. O módulo oficial do Microsoft Learn destaca quatro pilares conceituais: administração, autenticação, autorização e auditoria. Eles funcionam como partes interdependentes de um mesmo sistema.

Esses pilares precisam compartilhar uma fonte de verdade. Se o sistema de recursos humanos registra um desligamento, a administração deve desabilitar ou remover a identidade; a autenticação deve impedir novas entradas; a autorização deve revogar tokens e acessos; e a auditoria deve registrar o processo. A falha de qualquer etapa deixa uma abertura.

radio_button_uncheckedshort_text 7. Provedores de identidade e autenticação moderna

Um provedor de identidade, ou Identity Provider ( IdP ), é um serviço central que cria e mantém informações de identidade e oferece autenticação, autorização e auditoria para aplicações e serviços. Em vez de cada aplicação armazenar sua própria lista de usuários e implementar regras de senha, as aplicações delegam o processo ao IdP . O Microsoft Entra ID é um exemplo de provedor de identidade baseado em nuvem.

Quando um usuário tenta entrar em uma aplicação, ela o redireciona ao provedor de identidade. O IdP verifica as credenciais e aplica políticas. Se o processo for aprovado, emite um token de segurança. A aplicação valida o token com base em sua relação de confiança com o IdP e utiliza as informações contidas nele para criar a sessão e decidir o acesso.

Centralizar a autenticação traz benefícios claros: políticas consistentes, MFA em várias aplicações, visibilidade unificada dos logons, redução de senhas independentes, desprovisionamento mais rápido e maior capacidade de detectar padrões suspeitos. Também reduz o risco de cada equipe tentar desenvolver seu próprio mecanismo de autenticação, uma tarefa complexa e sensível.

radio_button_uncheckedshort_text 8. Tokens , claims e protocolos

8.1 Tokens de segurança

Token de segurança é um pacote estruturado de dados emitido por uma autoridade confiável após a autenticação. O token evita que a aplicação receba e valide diretamente a senha do usuário. Em vez disso, ela recebe uma evidência assinada pelo provedor de identidade. Tokens normalmente possuem emissor, destinatário, horário de emissão, expiração e informações sobre o sujeito.

Dois tipos são importantes para o entendimento conceitual. O ID token comprova que o usuário foi autenticado e informa quem ele é. O access token representa autorização para acessar um recurso ou API . Um ID token não deve ser usado como substituto de um access token ao chamar uma API ; eles possuem finalidades distintas.

8.2 Claims

Claims são declarações individuais transportadas em um token . Exemplos incluem o identificador do usuário, nome, e-mail, grupos, funções, tenant, método de autenticação, horário e escopo autorizado. A aplicação não deve aceitar uma claim apenas porque ela existe; deve validar a assinatura do token , o emissor, o público, a validade e outros requisitos do protocolo.

8.3 Protocolos de autenticação moderna

Pegadinha frequente

OAuth 2.0 é um framework de autorização. OpenID Connect adiciona uma camada de autenticação sobre OAuth 2.0. SAML também pode oferecer SSO , mas utiliza um modelo e formato diferentes.

radio_button_uncheckedshort_text 9. Logon único (Single Sign-On - SSO )

Logon único é a capacidade de um usuário autenticar-se uma vez em um provedor de identidade e acessar várias aplicações confiáveis sem fornecer novamente as credenciais a cada entrada. Isso é possível porque o IdP mantém uma sessão e emite tokens específicos para as aplicações solicitadas. Cada aplicação valida o token e confia no resultado da autenticação realizada pelo IdP .

SSO melhora a experiência e pode fortalecer a segurança. Menos prompts de senha reduzem reutilização, fadiga e exposição a páginas falsas. A organização consegue aplicar MFA e políticas em um ponto central. Entretanto, a centralização aumenta a importância da proteção da conta e do IdP : se uma identidade central for comprometida, várias aplicações podem ser afetadas. Por isso, SSO deve ser acompanhado de autenticação forte, monitoramento e menor privilégio.

SSO não é o mesmo que federação. O SSO descreve a experiência de autenticar uma vez e acessar várias aplicações. Federação descreve a relação de confiança entre sistemas de identidade distintos. Uma solução federada pode fornecer SSO entre organizações, mas também existe SSO dentro de um único provedor.

radio_button_uncheckedshort_text 10. Serviços de diretório

Serviço de diretório é um sistema especializado em armazenar, organizar, pesquisar e administrar informações sobre identidades e recursos. Ele funciona como uma fonte estruturada para usuários, grupos, computadores, aplicações e outros objetos. Diferentemente de uma lista simples de contas, um diretório oferece hierarquia ou relacionamentos, atributos, políticas, mecanismos de consulta e integração com autenticação e autorização.

Diretórios ajudam a manter uma identidade consistente. Um grupo pode representar uma equipe; uma função pode conceder permissões; um atributo pode direcionar provisionamento. Aplicações consultam o diretório ou confiam no provedor de identidade conectado a ele. O diretório, por si só, não substitui todos os componentes de IAM, mas é uma peça central da infraestrutura.

• Armazenar objetos e atributos de identidade.
• Organizar usuários, grupos, dispositivos e aplicações.
• Permitir pesquisas e consultas eficientes.
• Suportar autenticação e políticas de acesso.
• Fornecer uma fonte comum para provisionamento e auditoria.
• Manter relações de associação, como usuários pertencentes a grupos.

radio_button_uncheckedshort_text 11. Active Directory Domain Services ( AD DS )

Active Directory Domain Services é o serviço de diretório da Microsoft para domínios do Windows Server. Ele organiza objetos em uma estrutura composta por florestas, domínios e unidades organizacionais. Controladores de domínio armazenam o diretório, autenticam usuários e computadores e replicam informações entre si. O AD DS é profundamente integrado ao DNS e utiliza protocolos como Kerberos, NTLM e LDAP.

Uma floresta representa o limite mais amplo de uma implantação do AD DS e pode conter vários domínios. Um domínio reúne objetos que compartilham um banco de dados, políticas e um namespace. Unidades organizacionais ajudam a organizar objetos e delegar administração, mas não são limites de segurança equivalentes a uma floresta. Grupos são usados para atribuir permissões e simplificar a administração.

O AD DS é especialmente adequado a recursos locais, autenticação integrada do Windows, servidores, estações ingressadas no domínio e aplicações legadas. A organização é responsável por instalar, atualizar, proteger, monitorar e garantir a disponibilidade dos controladores de domínio.

radio_button_uncheckedshort_text 12. Microsoft Entra ID

Microsoft Entra ID é a solução de gerenciamento de identidade e acesso baseada em nuvem da Microsoft. Ele conecta pessoas, dispositivos, aplicações e dados e funciona como provedor de identidade para Microsoft 365 , Azure e milhares de aplicações. É um serviço multitenant operado pela Microsoft e oferecido como Identity as a Service (IDaaS).

A unidade administrativa central é o tenant, também chamado de diretório Microsoft Entra . O tenant possui um identificador exclusivo e contém usuários, grupos, dispositivos, registros de aplicações, entidades de serviço, funções e políticas. A autenticação moderna utiliza protocolos como OAuth 2.0, OpenID Connect e SAML . O serviço oferece SSO , MFA , acesso condicional , proteção de identidade, governança e integrações de provisionamento.

Microsoft Entra ID não é simplesmente um controlador de domínio na nuvem. Ele não utiliza florestas, domínios e unidades organizacionais como o AD DS e não depende de Kerberos ou LDAP como interface principal para aplicações modernas. Sua arquitetura foi criada para Internet, SaaS, APIs e ambientes distribuídos. Quando aplicações exigem recursos tradicionais de domínio, outras soluções, como AD DS local ou Microsoft Entra Domain Services , podem ser necessárias.

• Gerenciamento central de identidades para nuvem e ambientes híbridos.
• Autenticação para Microsoft 365 , Azure e aplicações integradas.
• SSO e federação com organizações e provedores externos.
• Identidades para usuários, dispositivos, aplicações e cargas de trabalho.
• Políticas de acesso baseadas em contexto e risco.
• Logs de entrada, auditoria, governança e proteção de identidades.

radio_button_uncheckedshort_text 13. Active Directory Domain Services x Microsoft Entra ID

Cuidado com a terminologia

Microsoft Entra ID era chamado Azure Active Directory ( Azure AD ). A mudança de nome não transformou o serviço em AD DS . Em questões de prova, observe se o cenário envolve domínio Windows e protocolos tradicionais ou identidade em nuvem e autenticação moderna.

radio_button_uncheckedshort_text 14. Confiança entre domínios

No Active Directory Domain Services , uma relação de confiança permite que identidades autenticadas em um domínio sejam reconhecidas para acessar recursos em outro domínio, de acordo com as permissões configuradas. A confiança não concede acesso automaticamente; ela cria um caminho para que a autenticação seja aceita. A autorização no recurso de destino continua necessária.

Trusts podem possuir direção e transitividade. Uma confiança unidirecional permite que um lado aceite identidades do outro em um sentido específico. Uma confiança bidirecional estabelece reconhecimento nos dois sentidos. Confianças transitivas podem estender o caminho entre domínios relacionados, enquanto uma confiança não transitiva fica limitada às partes configuradas.

No SC-900, o mais importante é entender a ideia de confiança e não memorizar todas as variações administrativas do AD DS . A mesma noção geral aparece na federação: uma parte aceita uma evidência de identidade emitida por outra parte confiável.

radio_button_uncheckedshort_text 15. Federação de identidades

Federação é o estabelecimento de relações de confiança entre sistemas de identidade separados para permitir acesso através de limites organizacionais ou de domínio. O usuário autentica-se no provedor de sua organização e utiliza essa identidade para acessar um recurso externo. O sistema de destino não precisa armazenar a senha do usuário nem administrar uma credencial separada.

A analogia do passaporte é útil: um país emite um documento e outro o aceita como evidência porque confia no emissor e consegue verificar sua autenticidade. Na federação, o provedor de identidade emite um token ou asserção; a aplicação ou o provedor do destino valida a assinatura, o emissor, o destinatário e as claims . Depois, aplica suas próprias regras de autorização.

Federação pode utilizar SAML , OpenID Connect, WS-Federation ou outros protocolos compatíveis. Active Directory Federation Services ( AD FS ) é uma função de servidor que permite emitir tokens a partir de identidades do AD DS e integrá-las a aplicações externas. Microsoft Entra ID também oferece federação e colaboração externa sem exigir que cada aplicação implemente diretamente todos esses detalhes.

radio_button_uncheckedshort_text 16. Autenticação entre organizações, aplicações e provedores externos

16.1 Colaboração entre empresas

Em uma parceria entre empresas, funcionários da Organização B podem acessar um projeto hospedado pela Organização A usando suas credenciais corporativas. A Organização A confia na autenticação realizada pelo provedor de B ou utiliza recursos de colaboração B2B. A autorização continua sob controle de A: somente os documentos, grupos e aplicações necessários devem ser liberados.

16.2 Provedores sociais e consumidores

Uma aplicação voltada ao público pode permitir entrada com contas Microsoft, Google, GitHub ou outros provedores. O aplicativo confia no provedor externo para autenticar a pessoa e recebe claims básicas. Isso reduz a fricção de cadastro, mas o aplicativo ainda precisa criar seu perfil interno, aplicar consentimento, proteger dados pessoais e definir permissões.

16.3 Aplicação acessando uma API

Uma aplicação pode receber autorização para chamar uma API em nome do usuário ou em seu próprio nome. No primeiro caso, o access token representa uma combinação entre a aplicação, o usuário e os escopos concedidos. No segundo, a aplicação utiliza uma identidade de serviço, certificado ou identidade gerenciada. Em ambos, a API valida o token antes de autorizar a operação.

16.4 Identidade híbrida

Identidade híbrida permite que uma mesma pessoa tenha uma representação consistente em ambientes locais e em nuvem. Organizações que utilizam AD DS podem sincronizar usuários e atributos para o Microsoft Entra ID . Dependendo do desenho, a autenticação pode ocorrer na nuvem, utilizar agentes ou ser federada com infraestrutura local. O objetivo é oferecer uma identidade comum sem obrigar o usuário a manter contas desconectadas.

radio_button_uncheckedshort_text 17. Ciclo de vida, provisionamento e desprovisionamento

A segurança de identidade não termina no logon. Cada identidade passa por um ciclo de vida: ingresso, mudanças e saída. Esse modelo é frequentemente descrito como joiner, mover e leaver. No ingresso, a organização cria a identidade, atribui atributos e concede acessos iniciais. Em uma mudança de função, permissões antigas devem ser removidas e novas permissões concedidas. Na saída, sessões, tokens , dispositivos e acessos precisam ser revogados rapidamente.

Provisionamento é a criação e atualização de identidades e contas em sistemas de destino. Pode ser manual, automatizado por integrações com RH ou padronizado com SCIM. Desprovisionamento é a remoção ou desativação coordenada. Uma conta esquecida em um aplicativo não integrado pode permanecer acessível mesmo depois que a identidade central foi desabilitada; por isso, o inventário e a automação são importantes.

1. Uma fonte autoritativa registra o vínculo da pessoa, como o sistema de RH.
2. O diretório ou IdP cria a identidade e seus atributos.
3. Grupos, funções e pacotes de acesso concedem o mínimo necessário.
4. Aplicações recebem ou criam contas por provisionamento.
5. Mudanças de função acionam revisão e ajuste de permissões.
6. O desligamento desabilita autenticação, revoga sessões e remove acessos.
7. Logs e revisões verificam se o processo foi concluído.

Princípio do menor privilégio

Uma identidade deve receber somente as permissões necessárias, no escopo necessário e pelo tempo necessário. O ciclo de vida evita que privilégios se acumulem indefinidamente.

radio_button_uncheckedshort_text 18. Riscos e ataques baseados em identidade

Se a identidade é o novo perímetro, atacantes tentarão atravessá-lo. O objetivo pode ser roubar uma credencial, enganar o usuário, reutilizar uma sessão, registrar um método de autenticação ou obter privilégios adicionais. O conhecimento desses riscos ajuda a compreender por que centralização, MFA , tokens de curta duração, auditoria e desprovisionamento são relevantes.

Nenhum controle isolado elimina todo o risco. MFA reduz o valor de uma senha roubada, mas não corrige uma autorização excessiva. SSO reduz a quantidade de credenciais, mas exige proteção rigorosa do provedor central. Auditoria permite detectar e investigar, mas precisa ser acompanhada de processos de resposta.

radio_button_uncheckedshort_text 19. Como os conceitos se conectam

Considere o acesso de uma funcionária a um aplicativo de folha de pagamento em nuvem. A identidade foi criada a partir do processo de admissão e recebeu atributos de departamento. Ao abrir o aplicativo, ela informa seu identificador. A aplicação redireciona o navegador ao Microsoft Entra ID , que autentica a usuária e aplica políticas. Um ID token informa quem ela é; um access token permite chamar uma API específica. O aplicativo analisa as claims e autoriza somente as telas adequadas à função.

Se a funcionária acessa uma aplicação parceira, uma relação federada pode permitir o uso da mesma identidade. Se a organização mantém AD DS local, a identidade pode ser sincronizada para o Microsoft Entra ID e utilizada de forma híbrida. Quando a funcionária muda de área, a administração atualiza atributos e grupos; as permissões são recalculadas. No desligamento, a conta é desabilitada, sessões são revogadas e aplicações integradas removem o acesso.

Esse exemplo mostra que diretório, IdP , SSO e federação não são conceitos independentes. O diretório organiza identidades; o IdP as autentica e emite tokens ; o SSO melhora a experiência entre aplicações confiáveis; a federação estende a confiança entre sistemas distintos; a autorização protege cada recurso; e a auditoria registra todo o caminho.

radio_button_uncheckedshort_text 20. Armadilhas comuns no SC-900

radio_button_uncheckedshort_text 21. Cenário integrado: colaboração entre duas empresas

A Empresa Alfa utiliza Microsoft 365 e hospeda um portal de projeto. A Empresa Beta participa do projeto e precisa conceder acesso a vinte consultores. O objetivo é evitar contas e senhas separadas no portal, garantir que a Beta continue responsável por autenticar seus profissionais e permitir que a Alfa controle exatamente quais recursos podem ser acessados.

21.1 Arquitetura de identidade

• Cada empresa mantém seu próprio provedor de identidade e ciclo de vida de usuários.
• A Alfa estabelece colaboração B2B ou uma relação federada compatível.
• Os consultores entram com as credenciais corporativas da Beta.
• A Alfa recebe uma identidade externa e atribui grupos ou funções limitadas ao projeto.
• O portal confia no IdP da Alfa e recebe tokens com claims relevantes.

21.2 Fluxo de acesso

1. O consultor informa sua identidade no portal da Alfa.
2. O fluxo identifica que a autenticação deve ser realizada pelo provedor confiável da Beta.
3. A Beta autentica o usuário e emite uma evidência ou participa do fluxo federado.
4. A Alfa valida a confiança e representa o consultor como usuário externo.
5. O portal recebe um token e autoriza somente o workspace do projeto.
6. Entradas e ações são registradas para auditoria.

21.3 Mudança e desligamento

Se um consultor deixa a Beta, seu provedor de identidade deve impedir novas autenticações. A Alfa também deve possuir revisões de acesso e expiração para reduzir dependência de processos manuais. Ao final do projeto, o grupo e os acessos externos são removidos. Esse desenho combina federação, SSO , autorização local, menor privilégio e governança do ciclo de vida.

Resultado

A Beta controla a autenticação de seus profissionais; a Alfa controla a autorização sobre seus recursos. Nenhuma senha corporativa precisa ser compartilhada com o portal da outra empresa.

radio_button_uncheckedshort_text 22. Revisão rápida para o exame

radio_button_uncheckedshort_text 23. Conclusão

A identidade tornou-se o novo perímetro porque a segurança moderna não pode depender apenas de uma fronteira de rede. Pessoas, dispositivos, aplicações e serviços acessam recursos distribuídos entre nuvem, SaaS e ambientes locais. A identidade oferece um ponto comum para verificar quem solicita acesso, avaliar o contexto, aplicar o menor privilégio e registrar decisões.

Neste capítulo, diferenciamos identificação, autenticação, autorização e administração; analisamos os pilares de uma infraestrutura de identidade; explicamos o papel do provedor de identidade, dos tokens e das claims ; e separamos SSO de federação. Também comparamos Active Directory Domain Services e Microsoft Entra ID e mostramos como confiança e protocolos padronizados permitem colaboração entre organizações.

Na minha avaliação, identidade é o tema que mais ajuda o candidato a compreender o restante do SC-900. MFA , acesso condicional , proteção de identidade, RBAC , PIM , governança e colaboração externa são extensões naturais dos fundamentos estudados aqui. Quando você consegue narrar o fluxo completo - da criação da conta à emissão do token e à autorização do recurso -, deixa de memorizar produtos isolados e passa a entender a arquitetura. Essa mudança de perspectiva torna o estudo mais consistente e prepara o caminho para os próximos capítulos sobre Microsoft Entra ID .

radio_button_uncheckedshort_text 24. Questões de fixação

Tente responder antes de consultar o gabarito comentado.

Questão 1

Um usuário informa seu endereço de e-mail e, em seguida, confirma uma solicitação no Microsoft Authenticator . Quais etapas ocorreram, respectivamente?

• A) Autorização e auditoria.
• B) Identificação e autenticação.
• C) Autenticação e identificação.
• D) Provisionamento e autorização.

Gabarito comentado

Resposta correta: B. Informar o endereço declara a identidade; confirmar a evidência verifica que o usuário controla essa identidade.

Questão 2

Qual afirmação descreve corretamente o logon único?

• A) Todas as aplicações armazenam a mesma senha do usuário.
• B) O usuário recebe autorização irrestrita depois do primeiro logon.
• C) O usuário autentica-se no IdP e aplicações confiáveis aceitam tokens sem exigir novamente as credenciais.
• D) SSO somente funciona entre dois domínios do AD DS .

Gabarito comentado

Resposta correta: C. O SSO depende de confiança no provedor de identidade e de tokens ; não compartilha a senha nem elimina a autorização.

Questão 3

Qual diferença entre AD DS e Microsoft Entra ID está correta?

• A) Microsoft Entra ID é apenas um controlador de domínio operado pela Microsoft.
• B) AD DS usa principalmente OAuth 2.0, enquanto Entra ID usa Kerberos.
• C) AD DS atende domínios Windows e protocolos tradicionais; Entra ID é IAM/ IdP em nuvem para SaaS, aplicações e APIs modernas.
• D) Os dois produtos possuem exatamente a mesma estrutura de florestas e OUs.

Gabarito comentado

Resposta correta: C. Eles tratam de identidade, mas possuem arquitetura, protocolos e cenários diferentes e podem coexistir em ambientes híbridos.

Questão 4

Uma empresa aceita tokens emitidos pelo provedor de identidade de uma parceira. O que isso representa?

• A) Criptografia simétrica.
• B) Federação de identidades.
• C) Apenas identificação local.
• D) Uma permissão automática a todos os recursos.

Gabarito comentado

Resposta correta: B. A federação estabelece confiança entre sistemas de identidade. A empresa de destino ainda deve autorizar cada recurso.

radio_button_uncheckedshort_text 25. Referências e fontes de aprofundamento

Conteúdo do plano de estudos SC-900 fornecido pelo usuário: Capítulo 2 - Identidade como o Novo Perímetro de Segurança.

• Microsoft Learn. Study guide for Exam SC-900: Microsoft Security, Compliance, and Identity Fundamentals. Atualizado em 26 de junho de 2026; consultado em 23 de julho de 2026.
• Microsoft Learn. Describe identity concepts. Módulo de treinamento do SC-900; consultado em 23 de julho de 2026.
• Microsoft Learn. Describe the role of the identity provider. Unidade sobre IdP, tokens, claims, protocolos e SSO; consultada em 23 de julho de 2026.
• Microsoft Learn. Describe the concept of federation. Unidade sobre confiança entre provedores e colaboração externa; consultada em 23 de julho de 2026.
• Microsoft Learn. Compare Active Directory to Microsoft Entra ID. Documentação de fundamentos do Microsoft Entra.
• Microsoft Learn. Azure identity management and access control security best practices. Documentação sobre identidade como perímetro e centralização de IAM.
• Microsoft Learn. Introduction to Microsoft Entra e Describe the function and identity types of Microsoft Entra ID. Roteiros oficiais de aprendizagem.

Encerramento do capítulo

Você concluiu os fundamentos conceituais de identidade. O próximo passo natural é estudar a estrutura do Microsoft Entra ID , seus tipos de identidade e a integração entre ambientes locais e em nuvem.