Compartilhar via


Gerenciar o consentimento para aplicativos e avaliar solicitações de consentimento

A Microsoft recomenda que vocêrestrinja o consentimento do usuário para permitir o consentimento dos usuários somente para aplicativos de editores verificados e apenas para permissões que você selecionar. Para aplicativos que não atendem a esses critérios, o processo de tomada de decisão é centralizado na equipe do administrador de identidade e segurança de sua organização.

Depois de desabilitar ou restringir o consentimento do usuário, você tem várias etapas importantes a serem tomadas para ajudar a manter sua organização segura à medida que você continua permitindo que aplicativos comercialmente críticos sejam usados. Essas etapas são cruciais para minimizar o impacto na equipe de suporte da sua organização e nos administradores de TI e para ajudar a impedir o uso de contas não gerenciadas em aplicativos que não são da Microsoft.

Este artigo fornece diretrizes sobre como gerenciar o consentimento para aplicativos e avaliar solicitações de consentimento nas recomendações da Microsoft, incluindo restringir o consentimento do usuário a editores verificados e permissões selecionadas. Ele aborda conceitos como alterações de processo, educação para administradores, auditoria e monitoramento e gerenciamento do consentimento do administrador em todo o locatário.

Processar alterações e educação

Auditoria e monitoramento

Outras considerações adicionais para reduzir o atrito

Para minimizar o impacto em aplicativos confiáveis e comercialmente críticos que já estão em uso, considere conceder proativamente o consentimento do administrador para aplicativos que têm um grande número de concessões de consentimento do usuário:

  • Faça um inventário dos aplicativos já adicionados à sua organização com alto uso, com base nos logs de entrada ou na atividade de concessão de consentimento. É possível usar um script do PowerShell para descobrir aplicativos rapidamente e facilmente com um grande número de concessões de consentimento do usuário.

  • Avalie os principais aplicativos para conceder consentimento de administrador.

    Importante

    Avalie cuidadosamente um aplicativo antes de conceder o consentimento do administrador em todos os locatários, mesmo que muitos usuários na organização já tenham consentido.

  • Para cada aplicativo aprovado, conceda consentimento de administrador em todo o locatário e considere restringir o acesso do usuárioexigindo a atribuição do usuário.

A concessão de consentimento do administrador em todos os locatários é uma operação confidencial. As permissões são concedidas em nome de toda a organização e podem incluir permissões para tentar realizar operações altamente privilegiadas. Exemplos de tais operações são gerenciamento de funções, acesso total a todas as caixas de correio ou todos os sites, e personificação completa do usuário.

Antes de conceder o consentimento do administrador em todos os locatários, é importante certifique-se e confiar no aplicativo e no editor do aplicativo, para o nível de acesso que você está concedendo. Se você não tiver certeza de que entendeu quem controla o aplicativo e por que o aplicativo está solicitando as permissões, não conceda o consentimento.

Quando você está avaliando uma solicitação para conceder consentimento de administrador, aqui estão algumas recomendações a serem consideradas:

  • Entenda as permissões e a estrutura de consentimento na plataforma de identidade da Microsoft.

  • Entenda a diferença entre as permissões delegadas e as permissões de aplicativo.

    As permissões do aplicativo permitem que o aplicativo acesse os dados de toda a organização, sem nenhuma interação do usuário. As permissões delegadas permitem que o aplicativo atue em nome de um usuário que, entrou no aplicativo em algum ponto.

  • Entenda as permissões que estão sendo solicitadas.

    As permissões solicitadas pelo aplicativo estão listadas no prompt de consentimento. Expandir o título da permissão exibir a descrição da permissão. A descrição das permissões de aplicativo geralmente termina em "sem um usuário conectado". A descrição de permissões delegadas geralmente termina com "em nome do usuário conectado". as permissões para a API de Microsoft Graph são descritas em referência de permissões de Microsoft Graph. Consulte a documentação de outras APIs para entender as permissões que elas expõem.

    Se você não entender uma permissão que está sendo solicitada, não conceda o consentimento.

  • Entenda qual aplicativo está solicitando permissões e quem publicou o aplicativo.

    Tenha cuidado com aplicativos mal-intencionados que tentam se parecer com outros aplicativos.

    Se você duvidar da legitimidade de um aplicativo ou de seu editor, não conceda o consentimento. Em vez disso, busque uma confirmação (por exemplo, diretamente do editor do aplicativo).

  • Certifique-se de que as permissões solicitadas estejam alinhadas com os recursos que você espera do aplicativo.

    Por exemplo, um aplicativo que oferece gerenciamento de sites do SharePoint pode exigir acesso delegado para ler todos os conjuntos de sites, mas não precisa necessariamente de acesso completo a todas as caixas de correio ou privilégios de representação completa no diretório.

    Se você suspeitar que o aplicativo está solicitando mais permissões do que o necessário, não conceda o consentimento. Entre em contato com o editor do aplicativo para obter mais informações.

Para obter instruções passo a passo sobre como conceder consentimento de administrador para todo o locatário a partir do centro de administração do Microsoft Entra, consulte Conceder consentimento de administrador para todo o locatário a um aplicativo.

Para revogar o consentimento do administrador em todo o locatário, você pode examinar e revogar as permissões concedidas anteriormente ao aplicativo. Para obter mais informações, consulte examinar as permissões concedidas aos aplicativos. Você também pode remover o acesso do usuário ao aplicativo desabilitando a entrada do usuário no aplicativo ou ocultando o aplicativo para que ele não apareça no portal Meus Aplicativos.

Em vez de conceder o consentimento para toda a organização, um administrador também pode usar a API do Microsoft Graph para conceder o consentimento a permissões delegadas em nome de um único usuário. Para obter um exemplo detalhado que usa o Microsoft Graph PowerShell, Consulte Conceder consentimento em nome de um único usuário usando o PowerShell.

Limitar o acesso do usuário aos aplicativos

O acesso do usuário aos aplicativos ainda pode ser limitado mesmo quando o consentimento do administrador em todo o locatário é concedido. Para limitar o acesso do usuário, exija a atribuição de usuário a um aplicativo. Para obter mais informações, confira Métodos para atribuir usuários e grupos. Os administradores também podem limitar o acesso do usuário aos aplicativos desabilitando todas as operações futuras de consentimento do usuário em qualquer aplicativo.

Para obter uma visão geral mais ampla, incluindo como lidar com cenários mais complexos, confira Usar o Microsoft Entra ID para o gerenciamento de acesso do aplicativo.

Próximas etapas