Criar uma revisão de acesso de grupos e aplicações no Microsoft Entra ID
O acesso a grupos e aplicativos para funcionários e convidados muda ao longo do tempo. Para reduzir o risco associado a atribuições de acesso obsoletas, os administradores podem usar o Microsoft Entra ID para criar revisões de acesso para membros do grupo ou acesso a aplicativos.
O Microsoft 365 e os proprietários do grupo de Segurança também podem usar a ID do Microsoft Entra para criar revisões de acesso para os membros do grupo, desde que um usuário na função de Administrador Global ou Administrador de Governança de Identidade habilite a configuração por meio do painel Configurações de Revisões de Acesso. Para obter mais informações sobre esses cenários, consulte Gerenciar revisões de acesso.
Assista a um pequeno vídeo que fala sobre como habilitar avaliações de acesso.
Este artigo descreve como criar uma ou mais revisões de acesso para membros do grupo ou acesso ao aplicativo.
- Para revisar atribuições de pacotes de acesso, consulte Configurar uma revisão de acesso no gerenciamento de direitos.
- Para revisar o recurso do Azure ou as funções do Microsoft Entra, consulte Criar uma revisão de acesso no PIM.
- Para revisões do PIM para Grupos, consulte Criar uma revisão de acesso do PIM para Grupos.
Pré-requisitos
- Licenças Microsoft Entra ID P2 ou Microsoft Entra ID Governance.
- Criar uma revisão sobre usuários inativos, ou com recomendações de afiliação de usuário para grupo, requer uma licença de Governança de ID do Microsoft Entra.
- Administrador global ou administrador de Governança de Identidade para criar revisões em grupos ou aplicativos.
- Os usuários devem estar na função de administrador global ou na função de administrador de função privilegiada para criar revisões em grupos atribuíveis por função. Para obter mais informações, consulte Usar grupos do Microsoft Entra para gerenciar atribuições de função.
- Microsoft 365 e proprietário do grupo de segurança.
Para obter mais informações, consulte Requisitos de licença.
Se você estiver revisando o acesso a um aplicativo, antes de criar a revisão, consulte o artigo sobre como se preparar para uma revisão de acesso do acesso dos usuários a um aplicativo para garantir que o aplicativo esteja integrado ao Microsoft Entra ID em seu locatário.
Nota
As revisões do Access capturam um instantâneo do acesso no início de cada instância de revisão. Quaisquer alterações feitas durante o processo de revisão serão refletidas no ciclo de revisão subsequente. Essencialmente, com o início de cada nova recorrência, dados pertinentes sobre os usuários, recursos em análise e seus respetivos revisores são recuperados.
Criar uma revisão de acesso de estágio único
Âmbito
Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.
Navegue até Revisões de acesso à governança>de identidade.
Selecione Nova revisão de acesso para criar uma nova revisão de acesso.
Na caixa Selecione o que revisar, selecione qual recurso você deseja revisar.
Se selecionou Equipas + Grupos, tem duas opções:
Todos os grupos do Microsoft 365 com usuários convidados: selecione esta opção se quiser criar avaliações recorrentes em todos os usuários convidados em todos os grupos do Microsoft Teams e do Microsoft 365 em sua organização. Grupos dinâmicos e grupos atribuíveis a funções não estão incluídos. Você também pode optar por excluir grupos individuais selecionando Selecionar grupo(s) a ser excluído(s).
Selecione Equipas + grupos: selecione esta opção se pretender especificar um conjunto finito de equipas ou grupos para rever. Uma lista de grupos para escolher aparece à direita.
Se você selecionou Aplicativos, selecione um ou mais aplicativos.
Nota
A seleção de vários grupos ou aplicativos resulta na criação de várias revisões de acesso. Por exemplo, se você selecionar cinco grupos para revisar, o resultado serão cinco avaliações de acesso separadas.
Agora você pode selecionar um escopo para a revisão. As suas opções:
- Somente usuários convidados: esta opção limita a revisão de acesso apenas aos usuários convidados do Microsoft Entra B2B em seu diretório.
- Todos: esta opção define o escopo da revisão de acesso a todos os objetos de usuário associados ao recurso.
Nota
Se você selecionou Todos os grupos do Microsoft 365 com usuários convidados, sua única opção é revisar somente usuários convidados.
Ou, se estiver a realizar uma análise da associação ao grupo, pode criar análises de acesso apenas para os utilizadores inativos no grupo. Na seção Escopo de usuários, marque a caixa ao lado de Usuários inativos (no nível de locatário). Se você marcar a caixa, o escopo da revisão se concentrará apenas nos usuários inativos, aqueles que não entraram interativamente ou não interativamente no locatário. Em seguida, especifique Dias inativos com muitos dias inativos até 730 dias (dois anos). Os usuários do grupo inativos pelo número de dias especificado são os únicos usuários na revisão.
Nota
Os usuários criados recentemente não são afetados ao configurar o tempo de inatividade. A Revisão de Acesso verificará se um usuário foi criado no período de tempo configurado e desconsiderará os usuários que não existiram por pelo menos esse período de tempo. Por exemplo, se você definir o tempo de inatividade como 90 dias e um usuário convidado tiver sido criado ou convidado há menos de 90 dias, o usuário convidado não estará no escopo da Revisão de acesso. Isso garante que um usuário possa entrar pelo menos uma vez antes de ser removido.
Selecione Next: Reviews.
Próximo: Comentários
Você pode criar uma revisão de estágio único ou de vários estágios. Para uma revisão de estágio único, continue aqui. Para criar uma revisão de acesso de vários estágios, siga as etapas em Criar uma revisão de acesso de vários estágios
Na seção Especificar revisores, na caixa Selecionar revisores, selecione uma ou mais pessoas para tomar decisões nas revisões de acesso. Pode escolher entre:
- Proprietário(s) do grupo: esta opção só está disponível quando você faz uma avaliação em uma equipe ou grupo.
- Utilizador(es) ou grupo(s) selecionado(s)
- Os utilizadores reveem o seu próprio acesso
- Gestores de utilizadores
Se você escolher Gerentes de usuários ou Proprietário(s) do grupo, também poderá especificar um revisor de fallback. Os revisores de fallback são solicitados a fazer uma revisão quando o usuário não tem um gerente especificado no diretório ou se o grupo não tem um proprietário.
Nota
Em uma revisão de acesso de equipe ou grupo, apenas os proprietários do grupo (no momento em que uma avaliação é iniciada) são considerados revisores. Durante uma revisão, se a lista de proprietários do grupo for atualizada, os novos proprietários do grupo não serão considerados revisores, assim como os antigos proprietários do grupo ainda serão considerados revisores. No entanto, no caso de uma revisão recorrente, quaisquer alterações na lista de proprietários do grupo serão consideradas na próxima instância dessa revisão.
Importante
Para PIM for Groups (Visualização), você deve selecionar Proprietário(s) do grupo. É obrigatório atribuir pelo menos um revisor de fallback à revisão. A avaliação atribuirá apenas proprietário(s) ativo(s) como revisor(es). Os proprietários elegíveis não estão incluídos. Se não houver proprietários ativos quando a avaliação começar, o(s) revisor(es) de fallback será(ão) atribuído(s) à avaliação.
Na seção Especificar recorrência da revisão, especifique as seguintes seleções:
Duração (em dias): por quanto tempo uma avaliação fica aberta para contribuições dos revisores.
Data de início: quando a série de avaliações começa.
Data de fim: quando a série de avaliações termina. Você pode especificar que ele nunca termina. Ou, você pode selecionar Terminar em uma data específica ou Terminar após o número de ocorrências.
Selecione Next: Settings.
Próximo: Configurações
Na seção Configurações após a conclusão , você pode especificar o que acontece após a conclusão da revisão.
Aplicar resultados automaticamente ao recurso: marque esta caixa de seleção se quiser que o acesso de usuários negados seja removido automaticamente após o término da duração da revisão. Se a opção estiver desativada, você terá que aplicar manualmente os resultados quando a revisão terminar. Para saber mais sobre como aplicar os resultados da revisão, consulte Gerenciar revisões de acesso.
Se os revisores não responderem: use esta opção para especificar o que acontece com os usuários não revisados por nenhum revisor dentro do período de revisão. Essa configuração não afeta os usuários que foram revisados por um avaliador. A lista suspensa mostra as seguintes opções:
- Sem alteração: Deixa o acesso de um usuário inalterado.
- Remover acesso: Remove o acesso de um usuário.
- Aprovar acesso: aprova o acesso de um usuário.
- Tome recomendações: aceita a recomendação do sistema de negar ou aprovar o acesso contínuo do usuário.
Aviso
Se as configurações Se os revisores não responderem estiver definida como Remover acesso ou Receber recomendações e Aplicar automaticamente os resultados ao recurso estiver habilitada, todo o acesso a esse recurso poderá ser revogado se os revisores não responderem.
Ação a ser aplicada a usuários convidados negados: essa opção só estará disponível se a revisão de acesso tiver como escopo incluir apenas usuários convidados para especificar o que acontece com os usuários convidados se eles forem negados por um revisor ou pela configuração Se os revisores não responderem .
- Remover a associação do usuário do recurso: essa opção remove o acesso de um usuário convidado negado ao grupo ou aplicativo que está sendo analisado. Eles ainda podem entrar no inquilino e não perderão nenhum outro acesso.
- Bloquear o início de sessão do utilizador durante 30 dias e, em seguida, remover o utilizador do inquilino: esta opção impede que um utilizador convidado negado inicie sessão no inquilino, independentemente de ter acesso a outros recursos. Se essa ação foi executada por engano, os administradores podem reativar o acesso do usuário convidado dentro de 30 dias após o usuário convidado ter sido desativado. Se nenhuma ação for executada no usuário convidado desativado após 30 dias, ele será excluído do locatário.
Para saber mais sobre as práticas recomendadas para remover usuários convidados que não têm mais acesso aos recursos em sua organização, consulte Usar a Governança de ID do Microsoft Entra para revisar e remover usuários externos que não têm mais acesso aos recursos.
Nota
A ação a ser aplicada a usuários convidados negados não é configurável em avaliações com escopo superior ao de usuários convidados. Também não é configurável para avaliações de Todos os grupos do Microsoft 365 com usuários convidados. Quando não é configurável, a opção padrão de remover a associação de um usuário do recurso é usada em usuários negados.
Use a opção No final da revisão, enviar notificação para para enviar notificações a outros usuários ou grupos com atualizações de conclusão. Esse recurso permite que outras partes interessadas além do criador da avaliação sejam atualizadas sobre o progresso da avaliação. Para usar esse recurso, escolha Selecionar usuário(s) ou grupo(s) e adicione outro usuário ou grupo para o qual você deseja receber o status de conclusão.
Na seção Habilitar auxiliares de decisão de revisão, escolha se deseja que o revisor receba recomendações durante o processo de revisão:
- Se você selecionar Sem login dentro de 30 dias, os usuários que entraram durante o período anterior de 30 dias serão recomendados para aprovação. Os usuários que não entraram nos últimos 30 dias são recomendados para negação. Esse intervalo de 30 dias é independente de os logins serem interativos ou não. A data do último login para o usuário especificado também será exibida junto com a recomendação.
- Se você selecionar Afiliação de usuário para grupo, os revisores receberão a recomendação de Aprovar ou Negar acesso para os usuários com base na distância média do usuário na estrutura de relatórios da organização. Os usuários que estão distantes de todos os outros usuários dentro do grupo são considerados como tendo "baixa afiliação" e receberão uma recomendação de negação nas avaliações de acesso ao grupo.
Nota
Se você criar uma revisão de acesso com base em aplicativos, suas recomendações serão baseadas no período de intervalo de 30 dias, dependendo de quando o usuário entrou pela última vez no aplicativo em vez do locatário.
Na seção Configurações avançadas, você pode escolher o seguinte:
Justificação necessária: Marque esta caixa de seleção para exigir que o revisor forneça um motivo para aprovação ou recusa.
Notificações por email: marque essa caixa de seleção para que o Microsoft Entra ID envie notificações por email aos revisores quando uma revisão de acesso for iniciada e aos administradores quando uma revisão for concluída.
Lembretes: marque essa caixa de seleção para que o Microsoft Entra ID envie lembretes de revisões de acesso em andamento para todos os revisores. Os revisores recebem os lembretes no meio da avaliação, independentemente de terem terminado a avaliação ou não.
Conteúdo adicional para o e-mail do revisor: o conteúdo do e-mail enviado aos revisores é gerado automaticamente com base nos detalhes da revisão, como nome da revisão, nome do recurso e data de conclusão. Se precisar de comunicar mais informações, pode especificar detalhes como instruções ou informações de contacto na caixa. As informações inseridas são incluídas no convite e os e-mails de lembrete são enviados aos revisores atribuídos. A seção destacada na imagem a seguir mostra onde essas informações aparecem.
Selecione Seguinte: Rever + Criar.
Próximo: Revisão + Criar
Nomeie a revisão de acesso. Opcionalmente, dê uma descrição à avaliação. O nome e a descrição são mostrados aos revisores.
Reveja as informações e selecione Criar.
Criar uma revisão de acesso em vários estágios
Uma revisão de vários estágios permite que o administrador defina dois ou três conjuntos de revisores para concluir uma revisão um após o outro. Em uma revisão de estágio único, todos os revisores tomam uma decisão dentro do mesmo período e o último revisor a tomar uma decisão, tem sua decisão aplicada. Em uma revisão de vários estágios, dois ou três conjuntos independentes de revisores tomam cada um uma decisão dentro de seu próprio estágio. As etapas são sequenciais, e a próxima etapa não acontece até que uma decisão seja registrada na etapa anterior. As revisões em vários estágios podem ser usadas para reduzir a carga sobre os revisores de estágio posterior, permitir o escalonamento de revisores ou fazer com que grupos independentes de revisores concordem com as decisões.
Nota
Os dados dos usuários incluídos nas revisões de acesso em vários estágios fazem parte do registro de auditoria no início da revisão. Os administradores podem excluir os dados a qualquer momento, excluindo a série de revisão de acesso em vários estágios. Para obter informações gerais sobre o GDPR e a proteção de dados do usuário, consulte a seção GDPR da Central de Confiabilidade da Microsoft e a seção GDPR do portal Service Trust.
Depois de selecionar o recurso e o escopo da avaliação, vá para a guia Avaliações .
Marque a caixa de seleção ao lado de Revisão em vários estágios.
Em Revisão do primeiro estágio, selecione os revisores no menu suspenso ao lado de Selecionar revisores.
Se você selecionar Proprietário(s) do grupo ou Gerentes de usuários, terá a opção de adicionar um revisor de fallback. Para adicionar um fallback, selecione Selecionar revisores de fallback e adicione os usuários que você deseja que sejam revisores de fallback.
Adicione a duração da primeira etapa. Para adicionar a duração, insira um número no campo ao lado de Duração do estágio (em dias). Este é o número de dias que você deseja que a primeira etapa esteja aberta para que os revisores da primeira etapa tomem decisões.
Em Revisão de segundo estágio, selecione os revisores no menu suspenso ao lado de Selecionar revisores. Estes examinadores serão convidados a rever após o termo da primeira fase.
Adicione quaisquer revisores de fallback, se necessário.
Adicione a duração para a segunda etapa.
Por padrão, você vê dois estágios quando cria uma revisão de vários estágios. No entanto, você pode adicionar até três estágios. Se quiser adicionar um terceiro estágio, selecione + Adicionar um estágio e preencha os campos obrigatórios.
Você pode decidir permitir que os revisores da 2ª e 3ª etapas vejam as decisões tomadas na(s) etapa(s) anterior(es). Se quiser permitir que eles vejam as decisões tomadas anteriormente, marque a caixa ao lado de Mostrar decisões de etapas anteriores para revisores de estágios posteriores em Revelar resultados de avaliações. Deixe a caixa desmarcada para desativar essa configuração se quiser que seus revisores analisem de forma independente.
A duração de cada recorrência é definida como a soma do(s) dia(s) de duração especificado(s) em cada estágio.
Especifique a recorrência da revisão, a data de início e a data de término da revisão. O tipo de recorrência deve ser pelo menos tão longo quanto a duração total da recorrência (ou seja, a duração máxima para uma recorrência de revisão semanal é de 7 dias).
Para especificar quais revisores continuarão de estágio em estágio, selecione uma ou várias das seguintes opções ao lado de Especificar revisores para ir para o próximo estágio :
- Revisores aprovados - Somente os revisores aprovados passam para a(s) próxima(s) etapa(s).
- Revisores negados - Somente os revisores que foram negados passam para a(s) próxima(s) etapa(s).
- Revisores não revisados - Somente os revisores que não foram revisados passarão para a(s) próxima(s) etapa(s).
- Revisores marcados como "Não sei" - Apenas os revisores marcados como "Não sabem" passam para a(s) próxima(s) etapa(s).
- Todos: todos passam para a próxima etapa se você quiser que todas as etapas dos revisores tomem uma decisão.
Continue para a guia de configurações, conclua o restante das configurações e crie a revisão. Siga as instruções em Next: Settings.
Inclua usuários e equipes de conexão direta B2B acessando os Canais Compartilhados do Teams nas avaliações de acesso
Você pode criar análises de acesso para usuários de conexão direta B2B por meio de canais compartilhados no Microsoft Teams. À medida que colabora externamente, pode utilizar as revisões de acesso do Microsoft Entra para garantir que o acesso externo aos canais partilhados se mantém atualizado. Os usuários externos nos canais compartilhados são chamados de usuários de conexão direta B2B. Para saber mais sobre os canais compartilhados do Teams e os usuários de conexão direta B2B, leia o artigo de conexão direta B2B.
Quando você cria uma revisão de acesso em uma Equipe com canais compartilhados, seus revisores podem analisar a necessidade contínua de acesso desses usuários externos e do Teams nos canais compartilhados. Você pode revisar o acesso de usuários de conexão B2B e outros usuários de colaboração B2B suportados e usuários internos não B2B na mesma revisão.
Nota
Atualmente, os usuários e equipes de conexão direta B2B estão incluídos apenas em revisões de estágio único. Se as revisões em vários estágios estiverem habilitadas, os usuários e equipes de conexão direta B2B não serão incluídos na revisão de acesso.
Usuários e equipes de conexão direta B2B estão incluídos nas análises de acesso do grupo Microsoft 365 habilitado para Teams do qual os canais compartilhados fazem parte. Para criar a revisão, você deve ser:
- Administrador Global
- Administrador de usuários
- Administrador de Governança de Identidade
Use as instruções a seguir para criar uma revisão de acesso em uma equipe com canais compartilhados:
Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.
Navegue até Revisões de acesso à governança>de identidade.
Selecione + Nova revisão de acesso.
Selecione Equipas + Grupos e, em seguida, selecione Selecionar equipas + grupos para definir o âmbito da Análise. Usuários e equipes de conexão direta B2B não estão incluídos nas avaliações de Todos os grupos do Microsoft 365 com usuários convidados.
Selecione uma Equipe que tenha canais compartilhados compartilhados com 1 ou mais usuários de conexão direta B2B ou Teams.
Defina o escopo.
- Escolha Todos os usuários para incluir:
- Todos os utilizadores internos
- Usuários de colaboração B2B que são membros da Equipe
- Usuários de conexão direta B2B
- Equipas que acedem a canais partilhados
- Ou escolha Usuários convidados apenas para incluir apenas usuários de conexão direta B2B e usuários de colaboração do Teams e B2B.
- Escolha Todos os usuários para incluir:
Continue na guia Avaliações. Selecione um revisor para concluir a revisão e, em seguida, especifique a Duração e a recorrência da revisão.
Nota
- Se você definir Selecionar revisores para Usuários revisarem seu próprio acesso ou Gerentes de usuários, os usuários de conexão direta B2B e o Teams não poderão revisar seu próprio acesso em seu locatário. O proprietário da Equipa em análise receberá um e-mail que lhe pede para rever o utilizador B2B direct connect e o Teams.
- Se você selecionar Gerentes de usuários, um revisor de fallback selecionado analisará qualquer usuário sem um gerente no locatário inicial. Isso inclui usuários de conexão direta B2B e Teams sem um gerente.
Vá para a guia Configurações e defina configurações adicionais. Em seguida, vá para a guia Revisar e Criar para iniciar sua revisão de acesso. Para obter informações mais detalhadas sobre como criar uma revisão e definições de configuração, consulte Criar uma revisão de acesso de estágio único.
Permitir que os proprietários de grupos criem e gerenciem revisões de acesso de seus grupos
Gorjeta
As etapas neste artigo podem variar ligeiramente com base no portal a partir do qual você começou.
A função de pré-requisito é um Administrador Global ou Administrador de Governança de Identidade.
Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.
Navegue até Configurações de avaliações>de acesso à governança>de identidade.
Na página Delegado que pode criar e gerenciar revisões de acesso, defina Os proprietários do grupo podem criar e gerenciar revisões de acesso para grupos de sua propriedade como Sim.
Nota
Por padrão, a configuração é definida como Não. Para permitir que os proprietários do grupo criem e gerenciem revisões de acesso, altere a configuração para Sim.
Criar uma revisão de acesso programaticamente
Você também pode criar uma revisão de acesso usando o Microsoft Graph ou o PowerShell.
Para criar uma revisão de acesso usando o Graph, chame a API do Graph para criar uma definição de agenda de revisão de acesso. O chamador deve ser um usuário em uma função apropriada com um aplicativo que tenha a permissão delegada AccessReview.ReadWrite.All ou um aplicativo com a permissão do AccessReview.ReadWrite.All aplicativo. Para obter mais informações, consulte Visão geral das APIs de revisões de acesso e os tutoriais sobre como revisar membros de um grupo de segurança ou revisar convidados em grupos do Microsoft 365.
Você também pode criar uma revisão de acesso no PowerShell com o New-MgIdentityGovernanceAccessReviewDefinition cmdlet do módulo Cmdlets do Microsoft Graph PowerShell para Governança de Identidade . Para mais informações, consulte os exemplos.
Quando uma revisão de acesso é iniciada
Depois de especificar as configurações de uma revisão de acesso e criá-la, a revisão de acesso aparecerá na sua lista com um indicador de seu status.
Por padrão, o Microsoft Entra ID envia um e-mail aos revisores logo após o início de uma revisão única ou da recorrência de uma revisão recorrente. Se você optar por não fazer com que o Microsoft Entra ID envie o e-mail, certifique-se de informar aos revisores que uma revisão de acesso está aguardando sua conclusão. Pode mostrar-lhes as instruções sobre como rever o acesso a grupos ou aplicações. Se a avaliação for para que os hóspedes avaliem o próprio acesso, mostre-lhes as instruções de como avaliar o acesso de si mesmo a grupos ou aplicativos.
Se você tiver atribuído hóspedes como revisores e eles não tiverem aceitado o convite para o inquilino, eles não receberão um e-mail das avaliações de acesso. Eles devem primeiro aceitar o convite antes de começarem a revisar.
Atualizar a revisão de acesso
Depois que uma ou mais avaliações de acesso forem iniciadas, convém modificar ou atualizar as configurações das avaliações de acesso existentes. Aqui estão alguns cenários comuns a serem considerados:
Atualizar configurações ou revisores: se uma revisão de acesso for recorrente, há configurações separadas em Atual e em Série. A atualização das configurações ou revisores em Atual só aplica alterações à revisão de acesso atual. A atualização das configurações em Série atualiza as configurações para todas as recorrências futuras.
Adicionar e remover revisores: ao atualizar as avaliações de acesso, você pode optar por adicionar um revisor de fallback além do revisor principal. Os revisores principais podem ser removidos quando você atualiza uma revisão de acesso. Os revisores de fallback não são removíveis por design.
Nota
Os revisores de fallback só podem ser adicionados quando o tipo de revisor for um gerente ou proprietário de grupo. Os revisores principais podem ser adicionados quando o tipo de revisor é o usuário selecionado.
Lembre os revisores: ao atualizar as avaliações de acesso, você pode optar por ativar a opção Lembretes em Configurações avançadas. Em seguida, os usuários recebem uma notificação por e-mail no meio do período de avaliação, independentemente de terem terminado a avaliação ou não.
