Visão geral do controle de acesso baseado em função no Microsoft Entra ID

Este artigo descreve como entender o controle de acesso baseado em função do Microsoft Entra. As funções do Microsoft Entra permitem que você conceda permissões granulares aos seus administradores, respeitando o princípio do menor privilégio. As funções internas e personalizadas do Microsoft Entra operam em conceitos semelhantes aos que você encontra no sistema de controle de acesso baseado em função para recursos do Azure (funções do Azure). A diferença entre esses dois sistemas de controle de acesso baseados em função é:

  • As funções do Microsoft Entra controlam o acesso aos recursos do Microsoft Entra, como usuários, grupos e aplicativos usando a API do Microsoft Graph
  • As funções do Azure controlam o acesso aos recursos do Azure, como máquinas virtuais ou armazenamento, usando o Gerenciamento de Recursos do Azure

Ambos os sistemas contêm definições de função e atribuições de função usadas de forma semelhante. No entanto, as permissões de função do Microsoft Entra não podem ser usadas em funções personalizadas do Azure e vice-versa.

Compreender o controlo de acesso baseado em funções do Microsoft Entra

O Microsoft Entra ID suporta dois tipos de definições de funções:

As funções integradas são funções prontas para uso que têm um conjunto fixo de permissões. Essas definições de função não podem ser modificadas. Há muitas funções incorporadas que o Microsoft Entra ID suporta, e a lista está a crescer. Para completar as bordas e atender aos seus requisitos sofisticados, o Microsoft Entra ID também oferece suporte a funções personalizadas. Conceder permissão usando funções personalizadas do Microsoft Entra é um processo de duas etapas que envolve a criação de uma definição de função personalizada e, em seguida, atribuindo-a usando uma atribuição de função. Uma definição de função personalizada é uma coleção de permissões que você adiciona de uma lista predefinida. Essas permissões são as mesmas usadas nas funções incorporadas.

Depois de criar sua definição de função personalizada (ou usando uma função interna), você pode atribuí-la a um usuário criando uma atribuição de função. Uma atribuição de função concede ao usuário as permissões em uma definição de função em um escopo especificado. Esse processo de duas etapas permite criar uma única definição de função e atribuí-la muitas vezes em escopos diferentes. Um escopo define o conjunto de recursos do Microsoft Entra aos quais o membro da função tem acesso. O escopo mais comum é o de toda a organização (org-wide). Uma função personalizada pode ser atribuída à escala da organização, o que significa que o titular da função tem as permissões de função sobre todos os recursos da organização. Uma função personalizada também pode ser atribuída em um escopo de objeto. Um exemplo de escopo de objeto seria um único aplicativo. A mesma função pode ser atribuída a um usuário em todos os aplicativos da organização e, em seguida, a outro usuário com um escopo de apenas o aplicativo Contoso Expense Reports.

Como o Microsoft Entra ID determina se um usuário tem acesso a um recurso

A seguir estão as etapas de alto nível que o Microsoft Entra ID usa para determinar se você tem acesso a um recurso de gerenciamento. Use essas informações para solucionar problemas de acesso.

  1. Um utilizador (ou entidade de serviço) adquire um token para o endpoint do Microsoft Graph.
  2. O usuário faz uma chamada de API para o Microsoft Entra ID via Microsoft Graph usando o token emitido.
  3. Dependendo da circunstância, o Microsoft Entra ID executa uma das seguintes ações:
    • Avalia as associações de funções do utilizador com base na alegação wids no token de acesso do utilizador.
    • Recupera todas as atribuições de função que se aplicam ao usuário, diretamente ou por meio da associação ao grupo, ao recurso no qual a ação está sendo executada.
  4. O ID do Microsoft Entra determina se a ação na chamada de API está incluída nas funções que o usuário tem para esse recurso.
  5. Se o utilizador não tiver um papel com a ação no âmbito solicitado, o acesso não será concedido. Caso contrário, o acesso é concedido.

Atribuição de funções

Uma atribuição de função é um recurso do Microsoft Entra que associa uma definição de função a uma entidade de segurança em um determinado escopo para conceder acesso aos recursos do Microsoft Entra. O acesso é concedido pela criação de uma atribuição de função e o acesso é revogado pela remoção de uma atribuição de função. Em sua essência, uma atribuição de função consiste em três elementos:

  • Principal de segurança - Uma identidade que recebe as permissões. Pode ser um usuário, grupo ou entidade de serviço.
  • Definição de função - Uma coleção de permissões.
  • Escopo - Uma maneira de restringir onde essas permissões são aplicáveis.

Você pode criar atribuições de função e listar as atribuições de função usando o centro de administração do Microsoft Entra, do Microsoft Graph PowerShell ou a API do Microsoft Graph. A CLI do Azure não tem suporte para atribuições de função do Microsoft Entra.

O diagrama a seguir mostra um exemplo de uma atribuição de função. Neste exemplo, Chris recebeu a função personalizada de Administrador de Registro de Aplicativo no escopo do registro do aplicativo Contoso Widget Builder. A atribuição concede a Chris as permissões da função de Administrador de Registro de Aplicativo apenas para esse registro de aplicativo específico.

Diagrama de uma atribuição de função que consiste em três partes.

Entidade de segurança

Uma entidade de segurança representa um usuário, grupo ou entidade de serviço à qual é atribuído acesso aos recursos do Microsoft Entra. Um usuário é um indivíduo que tem um perfil de usuário no Microsoft Entra ID. Um grupo é um novo grupo Microsoft 365 ou de segurança que foi definido como um grupo atribuível a funções. Uma identidade de serviço é criada para ser utilizada com aplicações, serviços hospedados e ferramentas automatizadas, a fim de aceder a recursos do Microsoft Entra.

Definição de funções

Uma definição de função, ou função, é um conjunto de permissões. Uma definição de função lista as operações que podem ser executadas nos recursos do Microsoft Entra, como criar, ler, atualizar e excluir. Há dois tipos de funções no Microsoft Entra ID:

  • Funções internas criadas pela Microsoft que não podem ser alteradas.
  • Funções personalizadas criadas e gerenciadas pela sua organização.

Âmbito de aplicação

Um escopo é uma maneira de limitar as ações permitidas a um conjunto específico de recursos como parte de uma atribuição de função. Por exemplo, se você quiser atribuir uma função personalizada a um desenvolvedor, mas apenas para gerenciar um registro de aplicativo específico, poderá incluir o registro de aplicativo específico como um escopo na atribuição de função.

Ao atribuir uma função, você especifica um dos seguintes tipos de escopo:

Se você especificar um recurso do Microsoft Entra como escopo, ele poderá ser um dos seguintes:

  • Grupos do Microsoft Entra
  • Aplicações empresariais
  • Inscrições de candidaturas

Quando uma função é atribuída em um escopo de contêiner, como o Locatário ou uma Unidade Administrativa, ela concede permissões sobre os objetos que eles contêm, mas não no contêiner em si. Pelo contrário, quando uma função é atribuída sobre um escopo de recurso, ela concede permissões sobre o próprio recurso, mas não se estende além (em particular, não se estende aos membros de um grupo do Microsoft Entra).

Para obter mais informações, consulte Atribuir funções do Microsoft Entra.

Opções de atribuição de função

O Microsoft Entra ID fornece várias opções para atribuir funções:

  • Você pode atribuir funções diretamente aos usuários, que é a maneira padrão de atribuir funções. As funções internas e personalizadas do Microsoft Entra podem ser atribuídas aos usuários, com base nos requisitos de acesso. Para obter mais informações, consulte Atribuir funções do Microsoft Entra.
  • Com o Microsoft Entra ID P1, você pode criar grupos atribuíveis a funções e atribuir funções a esses grupos. A atribuição de funções a um grupo em vez de indivíduos permite a fácil adição ou remoção de usuários de uma função e cria permissões consistentes para todos os membros do grupo. Para obter mais informações, consulte Atribuir funções do Microsoft Entra.
  • Com o Microsoft Entra ID P2, pode-se usar o Microsoft Entra Privileged Identity Management (Microsoft Entra PIM) para fornecer acesso no momento necessário às funções. Esse recurso permite que você conceda acesso limitado por tempo a uma função aos usuários que precisam dela, em vez de conceder acesso permanente. Ele também fornece relatórios detalhados e recursos de auditoria. Para obter mais informações, consulte Atribuir funções do Microsoft Entra no Privileged Identity Management.

Compreenda quem tem acesso a quê

Listar as atribuições de funções é apenas uma parte da resposta à questão mais ampla: "quem tem acesso a quê na minha organização?" O Microsoft Entra ID fornece várias ferramentas que, quando utilizadas em conjunto, lhe dão visibilidade sobre os acessos em todo o seu locatário.

  • Atribuições de funções. Utilize os procedimentos em List Microsoft Entra role assignments para listar quem tem funções do Microsoft Entra ao nível do tenant, da aplicação ou da unidade administrativa. Pode descarregar atribuições de funções como CSV para análise offline, ou consultá-las programaticamente com o Graph API Microsoft List unifiedRoleAssignments.
  • Atribuições de funções e concessões de consentimento da aplicação. Use Atribuir utilizadores e grupos a uma aplicação para ver quais os utilizadores e grupos que podem aceder a uma determinada aplicação empresarial. Utilize permissões de revisão concedidas às aplicações para inspecionar as permissões delegadas e das aplicações a que utilizadores ou administradores consentiram.
  • Atributos de segurança personalizados. Utilize atributos de segurança personalizados para marcar utilizadores e identidades de serviço com atributos específicos da empresa que definir para o seu tenant. Pode então filtrar e consultar o diretório por atributo para construir uma vista de atributo empresarial do acesso que complemente as consultas baseadas em funções.
  • Aceda às avaliações. Utilize revisões de acesso para verificar periodicamente se os utilizadores continuam a necessitar das suas atuais pertenças a grupos e das atribuições em aplicações empresariais. Utilize as revisões de acesso do Privileged Identity Management (PIM) para rever utilizadores e identidades de serviço atribuídos a funções do Microsoft Entra ou de recursos do Azure. Os revisores aprovam ou recusam o acesso contínuo a cada utilizador. As revisões de acesso exigem o Microsoft Entra ID Governance ou Microsoft Entra Suite; algumas funcionalidades funcionam com o Microsoft Entra ID P2. Para mais detalhes, consulte Requisitos de licença. A análise de princípios de serviço via PIM requer adicionalmente o ID de carga de trabalho Microsoft Entra Premium.
  • Gestão de direitos. Utilize a gestão de direitos para ver quais os utilizadores que receberam acesso através de pacotes de acesso. Os pacotes de acesso são organizados em catálogos, que são contentores de recursos relacionados e pacotes de acesso que pode usar para delegar e governar o acesso. A gestão de direitos requer Microsoft Entra ID Governance ou Microsoft Entra Suite; algumas funcionalidades funcionam com o Microsoft Entra ID P2. Para mais detalhes, consulte Requisitos de licença.
  • Registos de login e auditoria. Use os registos de login para ver quem tem acedido ativamente aos recursos e em que condições. Use registos de auditoria para acompanhar alterações nas atribuições de funções, membros de grupos e outros objetos de diretório ao longo do tempo. Os registos de auditoria registam alterações de configuração, enquanto os registos de início de sessão registam eventos — juntos ajudam-no a distinguir entre acesso concedido e acesso exercido. Para um rastreio mais detalhado das chamadas à API do Microsoft Graph, veja registos de atividade do Microsoft Graph.

Tip

Para inquilinos grandes, transmite registos para um espaço de trabalho Log Analytics para poderes consultar e analisar padrões de acesso entre milhares de utilizadores e funções.

Rege o acesso para identidades de carga de trabalho

Uma estratégia completa de autorização em escala deve abranger as identidades das cargas de trabalho — aplicações, principais de serviço e identidades geridas — não apenas os utilizadores. O Microsoft Entra suporta vários métodos para estabelecer identidades de máquinas, cada um adequado a um cenário diferente:

  • Registo na aplicação. Registar um objeto de aplicação para criar um principal de serviço que se autentica com um segredo do cliente, certificado ou credencial federada. Uso para aplicações tradicionais e integrações de plataformas.
  • Identidades gerenciadas. Use identidades geridas atribuídas pelo sistema ou pelo utilizador para cargas de trabalho a correr no Azure. O Azure gere as credenciais por si, por isso não há segredos armazenados no código ou na configuração.
  • Federação de identidade de carga de trabalho. Configure a confiança entre a Microsoft Entra e um fornecedor externo de identidade para que cargas de trabalho fora do Azure — ou cargas de trabalho no Azure que se autenticam como registos de aplicações — possam aceder a recursos protegidos pelo Microsoft Entra sem armazenar segredos.
  • Credenciais de identidade federada flexíveis (pré-visualização). Estenda o padrão secretless para registos de aplicações a cenários que exijam correspondência wildcard ou baseada em reivindicações com tokens emitidos pelo GitHub, GitLab ou Terraform Cloud.

Governe estas identidades em escala com os mesmos controlos em camadas que aplica aos utilizadores:

  • Aplicar o Acesso Condicional às identidades das cargas de trabalho para restringir onde e quando um principal de serviço pode autenticar-se. Esta funcionalidade requer licenças Workload Identities Premium e aplica-se apenas a entidades de serviço de inquilino único registadas no seu tenant — identidades geridas e aplicações SaaS multitenant ou de terceiros não estão incluídas.
  • Efetue revisões de acesso de grupos e aplicações para confirmar que os utilizadores atribuídos a esses recursos continuam a necessitar desse acesso e utilize as revisões de acesso PIM para rever as entidades de serviço atribuídas a funções do Microsoft Entra e de recursos do Azure. As revisões de grupos e candidaturas requerem Microsoft Entra ID Governance ou Microsoft Entra Suite (algumas funcionalidades estão disponíveis com Microsoft Entra ID P2); para mais detalhes, consulte Requisitos de licença. As avaliações dos principais de serviço também exigem o ID de carga de trabalho Microsoft Entra Premium.
  • Marque as entidades de serviço das suas aplicações registadas com atributos de segurança personalizados para que possa criar um inventário filtrável e orientar decisões de Azure ABAC com base em atributos de negócio.
  • Ative o bloqueio de propriedade de instância de aplicação em aplicações multitenant para evitar modificações não autorizadas de propriedades sensíveis no principal de serviço após a aplicação ser provisionada noutro inquilino.

Requisitos de licença

O uso de funções incorporadas no Microsoft Entra ID é gratuito. O uso de funções personalizadas requer uma licença P1 do Microsoft Entra ID para cada usuário com uma atribuição de função personalizada. Para encontrar a licença certa para seus requisitos, consulte Comparando os recursos geralmente disponíveis das edições Free e Premium.

Próximos passos

  • Last updated on