Verifique se o 'Microsoft Azure Management' está limitado a funções administrativas

Question

No Secure Score tem essa recomendação para ser aplicada via Acesso Condicional. Mas também informa que tem alguns impactos relacionados a:

Because the policy is applied to the Azure management portal and API, services, or clients with an Azure API service dependency, can indirectly be impacted. For example:

• Classic deployment model APIs
• Azure PowerShell
• Azure CLI
• Azure DevOps
• Azure Data Factory portal
• Azure Event Hubs
• Azure Service Bus
• Azure SQL Database
• SQL Managed Instance
• Azure Synapse
• Visual Studio subscriptions administrator portal
• Microsoft IoT Central

A dúvida é: isso impacta em algum usuário de serviço de API ou coisa do tipo? Ou vai impactar apenas os usuários que tentarem de fato acessar o portal do Azure etc? Estou com receio de aplicar o acesso condicional (excluindo todas as roles adm) e ter algum impacto em aplicações.

Answer 1

Olá

Bem vinda à Comunidade Microsoft Azure

Tuo bem,Yasmin? Bom dia! A recomendação do Microsoft Secure Score que envolve Acesso Condicional para o portal e APIs do Azure aplica-se a qualquer autenticação interativa ou não interativa que passe pelas mesmas políticas de acesso, incluindo serviços, scripts ou aplicações que dependam da API de gerenciamento do Azure.

Isso significa que o impacto não se limita apenas a usuários acessando o portal do Azure. Aplicações, automações ou serviços (por exemplo, Azure PowerShell, CLI, DevOps, Data Factory, SQL Database, entre outros listados*) também podem ser afetados caso utilizem contas, identidades gerenciadas ou service principals que estejam sujeitos à política.*

Recomendações antes de aplicar:

Mapeie quais identidades (usuários, service principals, managed identities) fazem chamadas para o Azure Resource Manager (ARM) ou APIs relacionadas.

1. Teste em modo de relatório (Report-only mode) para avaliar quais solicitações seriam bloqueadas sem impacto imediato.

Exclua explicitamente contas de serviço, roles críticas ou grupos de automação que não suportem MFA ou outras condições configuradas.

Utilize logs do Azure AD Sign-in para identificar acessos que passariam pela política.

Documentação de referência:

Acesso Condicional no Azure AD

Modo de relatório no Acesso Condicional

Logs de entrada no Microsoft Entra

Essa abordagem garante que você possa aplicar a política de forma segura, evitando indisponibilidade em serviços ou integrações.