Compartilhar via

Planejar uma implantação de revisões de acesso do Microsoft Entra

  • Artigo

As revisões de acesso do Microsoft Entra ajudam a organização a manter a Enterprise mais segura por meio do gerenciamento do ciclo de vida de acesso aos recursos. Com as Revisões de acesso, você pode:

  • Agendar revisões regulares ou fazer revisões ad hoc para descobrir quem tem acesso a recursos específicos, como aplicativos e grupos.

  • Acompanhar as revisões para insights, conformidade ou para fins de política.

  • Delegar revisões a administradores, proprietários de negócios ou usuários finais específicos que possam atestar a necessidade de acesso contínuo.

  • Usar os insights para determinar com eficiência se os usuários devem continuar a ter acesso.

  • Automatizar resultados de revisão, como remover o acesso dos usuários aos recursos.

    Diagrama que mostra o fluxo de revisões de acesso.

As revisões de acesso são uma funcionalidade do Microsoft Entra ID Governance. Os outros recursos são gerenciamento de direitos, PIM (Privileged Identity Management), fluxo de trabalho do ciclo de vida, provisionamento e termos de uso. Juntos, eles ajudam você a responder a estas quatro perguntas:

  • Quais usuários devem ter acesso a quais recursos?
  • O que esses usuários estão fazendo com esse acesso?
  • Existe um controle organizacional eficaz para gerenciar o acesso?
  • Auditores podem verificar se os controles estão funcionando?

Planejar sua implantação de revisões de acesso é essencial para garantir que você atinja a estratégia de governança desejada para os usuários na sua organização.

Principais benefícios

Os principais benefícios de habilitar as revisões de acesso são:

  • Colaboração de controle: as revisões de acesso permitem que você gerencie o acesso a todos os recursos de que os usuários precisam. Quando os usuários compartilham e colaboram, você pode ter certeza de que as informações estão apenas entre usuários autorizados.
  • Gerenciar riscos: as revisões de acesso oferecem uma maneira de revisar o acesso a dados e aplicativos, o que reduz o risco de vazamento e despejo de dados. Você tem a capacidade de revisar regularmente o acesso de parceiros externos aos recursos corporativos.
  • Conformidade de endereço e governança: com as revisões de acesso, você pode reger e reconfirmar o ciclo de vida de acesso para grupos, aplicativos e sites. Você pode controlar e acompanhar as revisões de conformidade ou aplicativos sensíveis a riscos específicos da sua organização.
  • Reduzir o custo: as revisões de acesso são criadas na nuvem e funcionam de forma nativa com recursos de nuvem, como grupos, aplicativos e pacotes de acesso. Usar revisões de acesso é menos caro do que criar suas próprias ferramentas ou atualizar seu conjunto de ferramentas local.

Recursos de treinamento

Os seguintes vídeos ajudam você a aprender sobre as revisões de acesso:

Licenças

O uso desse recurso requer assinaturas do Microsoft Entra ID Governance para os usuários da sua organização. Alguns recursos dentro desse recurso podem operar com uma assinatura do Microsoft Entra ID P2; confira os artigos de cada funcionalidade para obter mais detalhes. Para encontrar a licença certa para seus requisitos, confira Conceitos básicos de licenciamento do Microsoft Entra ID Governance.

Observação

Para criar uma revisão de usuários inativos e com recomendações de afiliação de uso a grupo requer uma licença do Microsoft Entra ID Governance.

Planejar o projeto de implantação de revisões de acesso

Considere as necessidades organizacionais para determinar a estratégia de implantação das revisões de acesso no ambiente.

Envolva os participantes certos

Quando os projetos de tecnologia falham, isso normalmente ocorre devido a expectativas incompatíveis sobre o impacto, os resultados e as responsabilidades. Para evitar essas armadilhas, certifique-se de que você esteja envolvendo as partes interessadas certas e que as funções do projeto sejam claras.

Nas revisões de acesso, provavelmente você incluirá representantes das seguintes equipes da organização:

  • A Administração de TI gerencia sua infraestrutura de TI e administra seus investimentos em nuvem e aplicativos SaaS (software como serviço). Essa equipe:

    • Examina o acesso privilegiado a infraestrutura e aplicativos, incluindo o Microsoft 365 e o Microsoft Entra ID.
    • Agenda e executa revisões de acesso em grupos que são usados para manter listas de exceções ou projetos-piloto de TI, para manter listas de acesso atualizadas.
    • Verifica se o acesso programático (com script) a recursos por meio de entidades de serviço está controlado e revisado.
    • Automatize processos como integração e remoção do usuário, solicitações de acesso e certificações de acesso.

  • Equipes de segurança certificam-se de que o plano atende aos requisitos de segurança da sua organização e exige a Confiança Zero. Essa equipe:

    • Reduz o risco e fortalece a segurança
    • Impõe acesso de privilégio mínimo a recursos e aplicativos
    • Usa ferramentas para ver uma fonte autoritativa centralizada, de quem tem acesso ao quê e por quanto tempo.

  • As equipes de desenvolvimento criam e mantêm aplicativos para sua organização. Essa equipe:

    • Controla quem pode acessar e gerenciar componentes em SaaS, PaaS (plataforma como serviço) e recursos de IaaS (infraestrutura como serviço) que compõem as soluções desenvolvidas.
    • Gerencia grupos que podem acessar aplicativos e ferramentas para o desenvolvimento de aplicativos internos.
    • Exige identidades com privilégios que tenham acesso a software de produção ou soluções hospedadas para seus clientes.

  • As unidades de negócios gerenciam os projetos e aplicativos próprios. Essa equipe:

    • Examine e aprova ou nega o acesso a grupos e aplicativos para usuários internos e externos.
    • Agenda e realiza revisões para atestar o acesso contínuo a funcionários e identidades externas, como parceiros de negócios.
    • Precisa que os funcionários tenham acesso aos aplicativos necessários para seu trabalho.
    • Permite que os departamentos gerenciem o acesso para seus usuários.

  • A governança corporativa garante que a organização siga a política interna e as normas. Essa equipe:

    • Solicita ou agenda novas revisões de acesso.
    • Avalia processos e procedimentos de revisão de acesso, incluindo manutenção de documentação e de registros para fins de conformidade.
    • Examina os resultados das revisões anteriores para obter os recursos mais críticos.
    • Valida se os controles certos estão em vigor para atender às políticas de segurança e privacidade obrigatórias.
    • Requer processos de acesso repetíveis fáceis de auditar e relatar.

Observação

Para revisões que exigem avaliações manuais, planeja os revisores adequados e os ciclos de revisão que atendem às suas necessidades de política e conformidade. Se os ciclos de revisão são muito frequentes ou há poucos revisores, a qualidade pode ser perdida e muitas ou poucas pessoas podem ter acesso. Recomendamos que você estabeleça responsabilidades claras para os vários stakeholders e departamentos envolvidos nas revisões de acesso. Todas as equipes e indivíduos participantes devem entender suas respectivas funções e obrigações para manter o princípio de privilégios mínimos.

Planejar a comunicação

A comunicação é fundamental para o sucesso de qualquer novo processo de negócios. Comunique proativamente aos usuários como e quando a experiência deles mudará. Avise-os sobre como obter suporte caso eles encontrem problemas.

Comunicar alterações na responsabilidade

Com as revisões de acesso, é possível transferir a proprietários de negócios a responsabilidade de examinar e agir a respeito do acesso contínuo. Desacoplar as decisões de acesso do departamento de TI resulta em decisões de acesso mais precisas. Essa é uma mudança cultural na responsabilidade dos proprietários de recursos. Comunique essa alteração de forma proativa e garanta que os proprietários de recursos sejam treinados e possam usar os insights para tomar boas decisões.

O departamento de TI quer permanecer no controle de todas as decisões de acesso relacionadas à infraestrutura e atribuições de funções privilegiadas.

Personalizar a comunicação por email

Ao agendar uma revisão, você nomeia os usuários que farão essa revisão. Em seguida, esses revisores recebem uma notificação por email de novas revisões atribuídas a eles e lembretes antes que elas expirem.

O email enviado aos revisores pode ser personalizado para incluir uma breve mensagem que os incentiva a tomar medidas quanto à revisão. Use o texto extra para:

  • Incluir uma mensagem pessoal aos revisores para que eles entendam que ela é enviada por seu departamento de conformidade ou de TI.

  • Incluir uma referência a informações internas sobre quais são as expectativas da revisão e material de treinamento ou referência extra.

    Captura de tela que mostra um email do revisor.

Depois de selecionar Iniciar revisão, os revisores serão direcionados para o portal Meus Acessos para revisões de acesso de grupo e aplicativo. O portal fornece uma visão geral de todos os usuários que têm acesso ao recurso revisado e as recomendações do sistema com base nas informações da última entrada e do último acesso.

Planejar um piloto

Incentivamos os clientes a inicialmente testar as revisões de acesso com um pequeno grupo e direcionar recursos não críticos. O teste piloto pode ajudar você a ajustar processos e comunicações conforme necessário. Ele pode ajudar a aumentar a capacidade dos usuários e revisores de atender aos requisitos de segurança e conformidade.

No piloto, é recomendável que você:

  • Comece com revisões em que os resultados não são aplicados automaticamente e você possa controlar as implicações.
  • Verifique se todos os usuários têm endereços de email válidos listados no Microsoft Entra ID. Confirme se eles recebem comunicação por email para realizar a ação apropriada.
  • Documente qualquer acesso removido como parte do piloto, caso você precise restaurá-lo rapidamente.
  • Monitore os logs de auditoria para garantir que todos os eventos sejam auditados corretamente.

Para obter mais informações, confira as Melhores práticas para um piloto.

Introdução às revisões de acesso

Esta seção apresenta os conceitos de revisão de acesso que você deve conhecer antes de planejar suas revisões.

Quais tipos de recursos podem ser examinados?

Depois de integrar os recursos da sua organização ao Microsoft Entra ID, como usuários, aplicativos e grupos, eles poderão ser gerenciados e revisados.

Os destinos típicos de revisão incluem:

Quem irá criar e gerenciar as revisões de acesso?

A função administrativa necessária para criar, gerenciar ou ler uma revisão de acesso depende do tipo de recurso cuja subscrição está sendo revisada. A tabela a seguir indica as funções necessárias para cada tipo de recurso.

Tipo de recurso Criar e gerenciar revisões de acesso (criadores) Ler os resultados da revisão de acesso
Grupo ou aplicativo Administrador global

Administrador de usuários

Administrador de Governança de Identidade

Administrador de função com privilégios (só faz revisões para grupos atribuíveis a funções do Microsoft Entra)

Proprietário do grupo (caso habilitado por um administrador)

 Administrador global

Leitor global

Administrador de usuários

Administrador de Governança de Identidade

Administrador de Função com Privilégios

Leitor de segurança

Proprietário do grupo (caso habilitado por um administrador)
Funções do Microsoft Entra Administrador global

Administrador de Função com Privilégios

 Administrador global

Leitor global

Administrador de usuários

Administrador de Função com Privilégios

Leitor de segurança
Funções de recurso do Azure Administrador de acesso do usuário (para o recurso)

Proprietário do recurso

Funções personalizadas com permissão Microsoft.Authorization/*.

 Administrador de acesso do usuário (para o recurso)

Proprietário do recurso

Leitor (para o recurso)

Funções personalizadas com permissões Microsoft.Authorization/*/read.
Pacote de acesso Administrador global

Administrador de Governança de Identidade

Proprietário do catálogo (para o pacote de acesso)

Gerenciador de pacotes de acesso (para o pacote de acesso)

 Administrador global

Leitor global

Administrador de usuários

Administrador de Governança de Identidade

Proprietário do catálogo (para o pacote de acesso)

Gerenciador de pacotes de acesso (para o pacote de acesso)

Leitor de segurança

Para obter mais informações, consulte Permissões da função de administrador no Microsoft Entra ID.

Quem irá revisar o acesso ao recurso?

O criador da revisão de acesso decide no momento da criação quem fará a revisão. Essa configuração não pode ser alterada depois que a revisão é iniciada. Os revisores são representados por:

  • Proprietários de recursos que são os proprietários de negócios do recurso.
  • Delegados selecionados individualmente conforme escolhido pelo administrador de revisões de acesso.
  • Usuários que atestam a necessidade de acesso contínuo.
  • Os gerentes revisam o acesso de seus subordinados diretos ao recurso.

Observação

Quando você seleciona proprietários de recursos ou gerentes, os administradores designam revisores de fallback, que são contatados se o contato primário não estiver disponível.

Quando você cria uma revisão de acesso, os administradores podem escolher um ou mais revisores. Todos os revisores podem iniciar e executar uma revisão escolhendo usuários para acesso contínuo a um recurso ou removê-los.

Componentes de uma revisão de acesso

Antes de implementar suas revisões de acesso, planeje os tipos de revisões relevantes para sua organização. Para isso, você precisa tomar decisões de negócios sobre o que deseja analisar e as ações a serem tomadas com base nessas análises.

Para criar uma política de revisão de acesso, você deve ter as seguintes informações:

  • Quais são recursos devem ser revisados?

  • Cujo acesso está sendo examinado?

  • Com que frequência a revisão deve ocorrer?

  • Quem fará a revisão?

    • Como eles serão notificados sobre a revisão?
    • Quais são as linhas do tempo a serem aplicadas para revisão?

  • Quais ações automáticas devem ser aplicadas com base na revisão?

    • O que acontece se o revisor não responder no prazo?

  • Quais ações manuais são tomadas como resultado com base na revisão?

  • Quais comunicações devem ser enviadas com base nas ações realizadas?

Exemplo de plano de revisão de acesso

Componente Valor
Recursos a serem examinados Acesso ao Microsoft Dynamics.
Frequência da revisão Mensalmente.
Quem faz a revisão Gerentes de Programas do grupo de negócios do Dynamics.
Notification O email é enviado no início de uma revisão para o alias Dynamics-Pms.

Inclua uma mensagem personalizada incentivando os revisores a garantir a adesão.
Linha do tempo 48 horas após a notificação.
Ações automáticas Remova o acesso de qualquer conta que não tenha nenhuma entrada interativa dentro de 90 dias removendo o usuário do grupo de segurança dynamics-access.

Realize as ações se não foram examinadas na linha do tempo.
Ações manuais Os revisores podem aprovar remoções antes da ação automatizada, caso queiram.

Automatizar ações com base em revisões de acesso

Você pode optar por ter a remoção de acesso automatizada definindo a opção Aplicar resultados automaticamente ao recurso como Habilitada.

Captura de tela que mostra o planejamento de revisões de acesso.

Depois que a revisão for concluída e finalizada, os usuários que não foram aprovados pelo revisor serão removidos automaticamente do recurso ou mantidos com o acesso contínuo. As opções podem significar a remoção de sua associação de grupo ou de sua atribuição de aplicativo ou revogação do direito de elevação para uma função privilegiada.

Obter as recomendações

As recomendações são exibidas para os revisores como parte da experiência do revisor e indicam a última entrada de uma pessoa no locatário ou o último acesso a um aplicativo. Essas informações ajudam os revisores a tomar a decisão de acesso certa. A seleção de Obter recomendações segue as recomendações da revisão de acesso. No final de uma revisão de acesso, o sistema aplica essas recomendações automaticamente aos usuários para os quais os revisores não responderam.

As recomendações são baseadas nos critérios da revisão de acesso. Por exemplo, caso você configure a revisão para remover o acesso sem entrada interativa por 90 dias, a recomendação é que todos os usuários que se encaixam nos critérios devem ser removidos. A Microsoft trabalha continuamente para aprimorar as recomendações.

Examinar o acesso dos usuários convidados

Use as revisões de acesso para examinar e limpar identidades de parceiros de colaboração de organizações externas. A configuração de uma revisão por parceiro pode atender aos requisitos de conformidade.

Identidades externas podem receber acesso aos recursos da empresa. Eles podem ser:

  • Adição a um grupo.
  • Convite para as equipes.
  • Atribuição a um aplicativo empresarial ou a um pacote de acesso.
  • Atribuição de uma função com privilégios no Microsoft Entra ID ou em uma assinatura do Azure.

Para obter mais informações, confira o script de exemplo. O script mostra onde as identidades externas convidadas para o locatário são usadas. Você pode ver a associação de grupo, as atribuições de função e as atribuições de aplicativo de um usuário externo no Microsoft Entra ID. O script não mostrará as atribuições fora do Microsoft Entra ID, como atribuição de direitos diretos aos recursos do SharePoint, sem o uso de grupos.

Ao criar uma revisão de acesso para grupos ou aplicativos, você pode optar por permitir que o revisor se concentre em Todos com acesso ou Somente usuários convidados. Ao selecionar Somente usuários convidados, os revisores recebem uma lista focada de identidades externas do B2B (business to business) do Microsoft Entra que têm acesso ao recurso.

Captura de tela que mostra a revisão de usuários convidados.

Importante

Essa lista não incluirá membros externos que tenham um userType de membro. Essa lista também não incluirá usuários convidados fora da colaboração B2B do Microsoft Entra. Um exemplo são os usuários que têm acesso ao conteúdo compartilhado diretamente por meio do SharePoint.

Planejar as revisões de acesso para pacotes de acesso

Os pacotes de acesso podem simplificar muito a estratégia de governança e de revisão de acesso. Um pacote de acesso é um pacote de todos os recursos com o acesso de que um usuário precisa para trabalhar em um projeto ou executar sua tarefa. Por exemplo, talvez você queira criar um pacote de acesso que inclua todos os aplicativos de que os desenvolvedores de sua organização precisam ou todos os aplicativos aos quais os usuários externos devem ter acesso. Um administrador ou gerenciador de pacotes de acesso delegado agrupa os recursos (grupos ou aplicativos) e as funções de que os usuários precisam para esses recursos.

Ao criar um pacote de acesso, você pode desenvolver uma ou mais políticas de pacote de acesso que definam as condições em que os usuários podem solicitar um pacote de acesso, a aparência do processo de aprovação e a frequência com que uma pessoa teria que solicitar acesso novamente ou ter o acesso revisado. As revisões de acesso são configuradas enquanto você cria ou edita essas políticas de pacote de acesso.

Selecione a guia Ciclo de vida e role para baixo até revisões de acesso.

Captura de tela que mostra a guia Ciclo de vida.

Planejar as revisões de acesso para grupos

Além de pacotes de acesso, a revisão da associação de grupo é a maneira mais eficiente de controlar o acesso. Atribua acesso a recursos por meio de Grupos de segurança ou grupos do Microsoft 365. Adicione usuários a esses grupos para obter acesso.

Um único grupo pode receber acesso a todos os recursos apropriados. Você pode atribuir o acesso de grupo a recursos individuais ou a um pacote de acesso que agrupa aplicativos e outros recursos. Com esse método, é possível examinar o acesso ao grupo em vez do acesso de um indivíduo a cada aplicativo.

A associação de grupo pode ser examinada por:

  • Administradores.
  • Proprietários de grupo.
  • Usuários selecionados que são delegados examinam a funcionalidade quando a revisão é criada.
  • Membros do grupo que atestam por si mesmos.
  • Gerentes que revisam o acesso de subordinados diretos.

Propriedade do grupo

Os proprietários de grupo examinam a associação porque são mais bem qualificados para saber quem precisa de acesso. A propriedade dos grupos é diferente de acordo com o tipo de grupo:

  • Os grupos criados no Microsoft 365 e no Microsoft Entra ID têm um ou mais proprietários bem definidos. Na maioria dos casos, esses proprietários se tornam os revisores perfeitos para seus próprios grupos, pois sabem quem deve ter acesso.

    Por exemplo, o Microsoft Teams usa os grupos do Microsoft 365 como modelo de autorização subjacente para conceder aos usuários o acesso a recursos no SharePoint, Exchange, OneNote ou em outros serviços do Microsoft 365. O criador da equipe automaticamente se torna proprietário e deve ser responsável por atestar a associação do grupo.

  • Os grupos criados manualmente no centro de administração do Microsoft Entra ou por meio de scripts do Microsoft Graph podem não ter necessariamente proprietários definidos. Defina-os por meio do centro de administração do Microsoft Entra na seção Proprietários do grupo ou por meio do Microsoft Graph.

  • Os grupos que são sincronizados do Active Directory local não podem ter um proprietário no Microsoft Entra ID. Ao criar uma revisão de acesso para eles, selecione pessoas que são mais adequadas para decidir sobre a associação a eles.

Observação

Defina as políticas de negócios que determinam como os grupos são criados para garantir uma propriedade de grupo clara e responsabilidade pela revisão regular da associação.

Examinar a associação de grupos de exclusão em políticas de Acesso condicional

Para saber como revisar a associação de grupos de exclusão, confira Usar revisões de acesso do Microsoft Entra para gerenciar usuários excluídos das políticas de acesso condicional.

Revisar as associações de grupo de usuários convidados

Para saber como revisar o acesso de usuários convidados a associações de grupo, confira Gerenciar o acesso de convidado com revisões de acesso do Microsoft Entra.

Examinar o acesso a grupos locais

As Revisões de acesso não podem alterar a associação dos grupos que você sincroniza no AD local com o Microsoft Entra Connect. Essa restrição ocorre porque a origem da autoridade de um grupo originário do AD é o AD local. Para controlar o acesso a aplicativos baseados em grupo do AD, use write-back de grupo do Microsoft Entra Cloud Sync.

Até que você tenha migrado para grupos do Microsoft Entra com write-back de grupo, você ainda pode usar revisões de acesso para agendar e manter revisões regulares de grupos locais existentes. Nesse caso, os administradores realizarão uma ação no grupo local após a conclusão de cada revisão. Essa estratégia mantém as revisões de acesso como ferramenta para todas as revisões.

Você pode usar os resultados de uma revisão de acesso em grupos locais e processá-los ainda mais, seja ao:

Por exemplo, para recuperar os resultados de um grupo gerenciado pelo Windows Server AD, use este script de amostra do PowerShell. O script descreve as chamadas do Microsoft Graph necessárias e exporta os comandos Windows Server AD-PowerShell para realizar as alterações.

Planejar as revisões de acesso para aplicativos

Ao revisar todos os itens atribuídos ao aplicativo, você está revisando os usuários, incluindo funcionários e identidades externas, que podem se autenticar nesse aplicativo usando sua identidade do Microsoft Entra. Escolha examinar um aplicativo quando precisar saber quem tem acesso a um aplicativo específico, em vez de um pacote de acesso ou um grupo.

Planeje revisões para aplicativos nos seguintes cenários quando:

  • Os usuários recebem acesso direto ao aplicativo (fora de um grupo ou pacote de acesso).
  • O aplicativo expõe informações críticas ou confidenciais.
  • O aplicativo tem requisitos de conformidade específicos, os quais você deve atestar.
  • Você suspeita de acesso inadequado.

Antes de você criar revisões de acesso para um aplicativo, este precisa ser integrado ao Microsoft Entra ID como um aplicativo no seu locatário, com usuários atribuídos às funções do aplicativo e a opção Atribuição de usuário necessária? no aplicativo definida como Sim. Se ela estiver definida como Não, todos os usuários em seu diretório, incluindo identidades externas, poderão acessar o aplicativo e você não poderá revisar o acesso ao aplicativo.

Captura de tela que mostra o planejamento de atribuições de aplicativo.

Depois, atribua os usuários e grupos cujo acesso você quer revisar.

Leia mais sobre como se preparar para uma revisão de acesso de usuários a um aplicativo.

Revisores de um aplicativo

As revisões de acesso podem ser de membros de um grupo ou usuários que foram atribuídos a um aplicativo. Os aplicativos no Microsoft Entra ID não necessariamente têm um proprietário, por isso, a opção de selecionar o proprietário do aplicativo como revisor não é possível. Você pode definir o escopo de uma revisão para examinar somente os usuários convidados atribuídos ao aplicativo, em vez de examinar todos os acessos.

Planejar a revisão das funções do Microsoft Entra ID e recursos do Azure

O Privileged Identity Management simplifica o modo como as empresas gerenciam o acesso com privilégios a recursos no Microsoft Entra ID. O uso do PIM mantém a lista de funções privilegiadas no Microsoft Entra ID e nos recursos do Azure menores. Ele também aumenta a segurança geral do diretório.

As análises de acesso permitem que os revisores atestem se os usuários ainda precisam estar em uma função. Assim como as revisões de acesso para pacotes de acesso, as revisões para funções do Microsoft Entra e recursos do Azure são integradas à experiência do usuário de administrador do PIM.

Examine as seguintes atribuições de função regularmente:

  • Administrador global
  • Administrador de usuários
  • Administrador de autenticação privilegiada
  • Administrador de acesso condicional
  • Administrador de segurança
  • Todas as funções de administração de Serviço Microsoft 365 e Dynamics

As funções revisadas incluem atribuições permanentes e qualificadas.

Na seção Revisores, selecione uma ou mais pessoas para examinar todos os usuários no escopo. Ou você pode selecionar Gerente, para que um gerente revise o acesso das pessoas que ele gerencia, ou Membros (auto) para que os membros revisem seu próprio acesso.

Captura de tela que mostra a seleção de revisores.

Implantar as revisões de acesso

Depois de preparar uma estratégia e um plano para revisar o acesso aos recursos integrados ao Microsoft Entra ID, implante e gerencie as revisões usando os recursos a seguir.

Examinar os pacotes de acesso

Para reduzir o risco de acesso obsoleto, os administradores podem habilitar as revisões periódicas dos usuários que têm atribuições ativas para um pacote de acesso. Siga as instruções nos artigos listados na tabela.

Artigos de instruções Descrição
Criar revisões de acesso Habilite revisões de um pacote de acesso.
Fazer revisões de acesso Faça as revisões de acesso para outros usuários atribuídos a um pacote do acesso.
Revisar por conta própria os pacotes de acesso atribuídos Examine por conta própria os pacotes de acesso atribuídos.

Observação

Os usuários que revisam e dizem que não precisam mais de acesso não são removidos imediatamente do pacote de acesso. Eles são removidos do pacote de acesso quando a revisão termina ou se um administrador a interrompe.

Examinar os grupos e aplicativos

As necessidades de acesso a grupos e aplicativos para funcionários e convidados provavelmente mudam com o tempo. Para reduzir os riscos associados às atribuições de acesso obsoletas, os administradores podem criar revisões de acesso para membros do grupo ou usuários atribuídos a um aplicativo. Siga as instruções nos artigos listados na tabela.

Artigos de instruções Descrição
Criar revisões de acesso Crie uma ou mais revisões de acesso para membros do grupo ou acesso ao aplicativo.
Fazer revisões de acesso Fazer uma revisão de acesso para membros de um grupo ou usuários com acesso a um aplicativo.
Revisar seu acesso por conta própria Permita que os membros revisem seu próprio acesso a um grupo ou a um aplicativo.
Concluir a análise de acesso Exiba uma revisão de acesso e aplique os resultados.
Tomar medidas para grupos locais Use uma amostra de script do PowerShell a fim de tomar medidas em revisões de acesso para grupos locais.

Revisar funções do Microsoft Entra

Para reduzir o risco associado a atribuições de função obsoletas, examine regularmente o acesso de funções privilegiadas do Microsoft Entra.

Captura de tela que mostra a lista

Siga as instruções nos artigos listados na tabela.

Artigos de instruções Descrição
Criar revisões de acesso Criar Revisões de acesso para funções com privilégios do Microsoft Entra no PIM.
Revisar seu acesso por conta própria Se você recebeu uma função administrativa, aprove ou negue o acesso à sua função.
Concluir uma revisão de acesso Exiba uma revisão de acesso e aplique os resultados.

Examinar as funções de recurso do Azure

Para reduzir o risco associado a atribuições de função obsoletas, examine regularmente o acesso de funções privilegiadas de recursos do Azure.

Captura de tela que mostra a revisão de funções do Microsoft Entra.

Siga as instruções nos artigos listados na tabela.

Artigos de instruções Descrição
Criar revisões de acesso Crie revisões de acesso para funções de recursos do Azure com privilégios no PIM.
Revisar seu acesso por conta própria Se você recebeu uma função administrativa, aprove ou negue o acesso à sua função.
Concluir uma revisão de acesso Exiba uma revisão de acesso e aplique os resultados.

Usar a API de Revisões de acesso

Para interagir com recursos revisáveis e gerenciá-los, confira Métodos da API do Microsoft Graph e verificações de autorização de permissão de aplicativo e função. Os métodos de revisões de acesso na API do Microsoft Graph estão disponíveis para contextos de aplicativo e de usuário. Ao executar scripts no contexto do aplicativo, a conta usada para executar a API (o princípio de serviço) deve receber a permissão AccessReview.Read.All para consultar as informações das revisões de acesso.

Tarefas populares das revisões de acesso para automatizar o uso da API do Microsoft Graph em revisões de acesso incluem:

  • Criar e iniciar uma revisão de acesso.
  • Encerrar manualmente uma revisão de acesso antes do encerramento agendado.
  • Listar todas as revisões de acesso em execução e o status delas.
  • Conferir o histórico de uma série de revisões e as decisões e ações tomadas em cada revisão.
  • Coletar as decisões de uma revisão de acesso.
  • Coletar decisões de revisões concluídas em que o revisor tomou uma decisão diferente daquela que o sistema recomenda.

Ao criar consultas da API do Microsoft Graph para automação, use o Explorador do Graph para desenvolver e explorar as consultas do Microsoft Graph antes de colocá-las em scripts e códigos. Essa etapa pode ajudar você a iterar sua consulta com rapidez para que obtenha exatamente os resultados que está procurando, sem alterar o código do script.

Monitorar as revisões de acesso

As atividades de Revisões de acesso são registradas e disponibilizadas nos logs de auditoria do Microsoft Entra. Você pode filtrar os dados de auditoria de acordo com a categoria, o tipo de atividade e o intervalo de datas. Aqui está um exemplo de consulta.

Categoria Política
Tipo de atividade Criar a revisão de acesso
Atualizar a revisão de acesso
Revisão de acesso encerrada
Excluir revisão de acesso
Aprovar a decisão
Negar a decisão
Redefinir a decisão
Aplicar a decisão
Intervalo de datas Sete dias

Para consultas mais avançadas e análise de revisões de acesso e para controlar as alterações e a conclusão das revisões, exporte os logs de auditoria do Microsoft Entra para o Azure Log Analytics ou os Hubs de Eventos do Azure. Quando os logs de auditoria são armazenados no Log Analytics, você pode usar a linguagem de análise avançada e criar seus próprios painéis.

Próximas etapas

Saiba mais sobre as seguintes tecnologias relacionadas: