Faala pessoal, 100%?

A nave mãe entupiu Agosto com novidades. Podemos dizer que foi mês de “maturidade operacional” no Entra ID. Apontaria as novidades do Lifecycle Workflow e do Entra Cloud Sync como as bombas do mês. Vamos as news.

Tenant Governance agora em GA

O Microsoft Entra Tenant Governance virou GA. Eu já havia falado sobre esse cara aqui um tempinho atrás. O que antes era colcha de retalhos de scripts e planilhas virou um produto, ainda não tão maduro, mas com muito potencial. Além de apoiar no dia a dia, algo me diz que a msft também pode utilizar esse recurso para fins de auditoria. Vejamos as paginas dos próximos capitulos.

Se você é MSP ou consultor com vários tenants sob gestão, vale mapear como encaixar na operação.

What-if mode no Lifecycle Workflows

O já conhecido What-if, lá das políticas de Acesso Condicional, agora tem sua versão em GA no LCW. A ideia é a mesma, um modo de simulação que roda o workflow “no vazio” e mostra exatamente quais usuários cairiam no escopo, sem executar nada de verdade.

Antes desse recurso o teste era em produção, agora, com o What-if, você valida o impacto primeiro e só aplica quando tiver confiança. Pra mim, esse é o destaque prático do mês, principalmente pra quem não curte parar uma operação pro conta de um erro simples numa query do LCW.

Lifecycle Workflows

Mais novidades para o LCW. Três, todos agora GA:

• Cancelar runs na fila ou em andamento. Se tens algo schedulado, agora é possível cancelar, ou caso a task ainda não tenha sido executada, você também conseguirá cancelar. Atenção que esse recurso não é um ctrl+Z, o que rodou, já foi e estrago está feito =D.
• User Attributes Update agora define ou limpa até 10 atributos por evento.
• E-mails customizados ganharam novo formato de atributos dinâmicos com mais campos disponíveis (built-in, custom security attributes, directory extensions e extension attributes do on-premises). Dá pra personalizar e-mail de onboarding/offboarding sem script externo. Fica bonito? Nem tanto, mas ja é um avanço.

Cloud Sync com writeback do Exchange e sync de devices

O Cloud Sync segue adicionando mais recursos e ganhando espaço;

Writeback de atributos do Exchange Online pro AD em GA. Agora uma vez que a Source of Authority dos atributos de Exchange vá pra nuvem, é possível devolver as mudanças pro AD via Cloud Sync. Esse carinha permite que, por exemplo, uma empresa em transição pro Exchange Online que dependa de algum atributo relacionado com mail, possa ter a mailbox migrada. O CloudSync conseguirá fazer o writeback para o objeto do AD.

Sincronização de devices do AD via Cloud Sync (Preview). Habilita Hybrid Azure AD Join e ciclo de vida de dispositivos (update, disable, delete do AD pro Entra) sem Connect Sync nem AD FS, inclusive em florestas desconectadas. Esse era exatamente o gap que fazia empresa segurar a migração pro Cloud Sync. Como ainda está em Preview, be careful.

Faxina automática de guests sem sponsor

O Lifecycle Workflows ganhou suporte, ainda em Preview, pra detectar e limpar automaticamente contas de convidado sem sponsor. Similar a um Access Review, mas olhando para o atributo “Sponsor” das contas Guest. Simples mas super funcional. Time de governança curtirá, com certeza.

Drops

• SSO no Windows sem prompt repetido (GA): configuração de registro que o admin aplica via GPO/Intune em dispositivos gerenciados (Windows 11 24H2/25H2) pra aceitar SSO automaticamente, sem interromper o usuário. Um pre-req aqui é o KB5101650 instalado. Teste antes de por em produção.
• E-mail opcional no External ID (GA): Federação com IdPs que não compartilham e-mail. Longe de mim ser fã do External ID (antigo Entra B2C), mas está ai uma novidade que ajudará.
• Authenticator: Backup e Restore no iOS via iCloud Keychain com criptografia ponta a ponta, sem depender de conta pessoal Microsoft. E ainda entrega detecção de jailbreak/root bloqueando credenciais do Entra em aparelhos comprometidos.

Conclusão

Muita coisa nova pra estudar e testar agora em Agosto. O foco em Governança mostra uma direção clara da Microsoft e entendo que podemos contar os meses para receber o update de que o Entra Connect será descontinuado.

Espero que tenha te ajudado! Grande abraço \,,/

O post Novidades do Entra ID – Agosto 2026 apareceu primeiro em Entra ID Brasil.

O recursos que faltava

É isso mesmo que leu no título! O tão esperado recurso para ambientes PHS ou Cloud Only está saindo do forno!

Não é de hoje nem do ano passado que eu recebo perguntas do tipo:

“E como faço para controlar o horario que os usuários podem acessar os apps do M365?”.

O pedido não é apenas um “perfume”. Vários ambientes exigem esse tipo de controle que era fácilmente atingível utilizando as opções de Logon Hours no AD. Se você hoje tem um ambiente híbrido e utiliza PHS ou se tem um ambiente Cloud Only, a única forma de entregar esse controle é por meio de automação. Relativamente simples, mas ainda assim, algo customizado, nada built-in.

Pequeno adendo, se você tiver identidade hibrida e utiliza PTA, o Logon Hours do AD já resolve seu problema =D.

Acesso Condicional baseado em Horário

Antes de mais nada

Os testes realizados aqui são de um recurso que ainda está em Beta, nem mesmo em preview e sem documentação oficial da Microsoft. Utilize por sua conta e risco e NUNCA em produção

Indo até o Graph Explorer e rodando um GET nas políticas de Acesso Condicional, você notará um campo disponível chamado: “Times“.

Expandindo um pouco mais os testes, podemos rodar um PATCH na seção de Times da política e definir dias da semana e horário em que essa regra será aplicada.

{
    "conditions": {
        "times": {
            "includeAllTimes": true,
            "includeDays": null,
            "excludeDays": {
                "daysOfWeek": ["monday", "tuesday", "wednesday", "thursday", "friday"],
                "timeZone": "UTC",
                "startTime": "02:15:00",
                "endTime": "00:00:00",
                "allDay": false
            },
            "includeRange": null,
            "excludeRange": null
        }
    }
}

Note que os horarios devem ser informados no padrão UTC. Eu testei utilizando outras Time Zones mas em todas as opções retorno erro. Por enquanto, utilize um conversor de Time Zone para encontrar o horario exato para seus testes. Tudo caminhando bem, sua política será configurada considerando o horario que você definiu ali no Patch. No meu caso, criei uma política de Block para um usuário apenas, e nela defini que entre 23:15 e 00:00 o acesso seria bloqueado.

O resultado

Ao tentar logar após o horario definido, recebo uma mensagem informando que o acesso não é permitido. Aquele genérico de blocks por conta de Acesso Condicional. Por enquanto nenhuma mensagem personalizada que indique o motivo do block tem sido exibida, tampouco lá nos Sign-in Logs.

O que encontrará será apenas, também, um log genérico te mostrando que um bloqueio ocorreu, mas nada indica que foi por conta do horário definido.

Detalhes Importantes

• Eu vou repetir! Esse recurso é para ser utilizado como TESTE, e nada além disso. Não existe suporte alguem da Microsoft ainda. Espero ver em breve o recurso em Preview
• Você pode esperar ainda instabilidade nesse recurso. Como comentei, é um BETA no Graph API
• A opção de horario (Times) não está disponível e nem é exibida na console do Entra. Você conseguirá ver isso apenas via Graph
• As alterações não alterarão nada na console do Entra (nenhum campo novo será exibido). Novamente, tudo via Graph
• Os logs sign-in não dão pista nenhuma. Conseguimos concluir que a política foi aplicada dando comparando o horario de acesso com o que foi configurado. No meu caso, testei com dois usúarios, um que era alvo da política de horario e outra que não estava listado.

Só pra reforçar. NEM PENSE EM USAR ISSO EM PRODUÇÃO, POR ENQUANTO.

Conclusão

Ainda em Beta, mas tudo indica que logo menos teremos esse baita recurso disponível nas console do Entra, entregando ainda mais flexibilidade para gestão e governança de identidades com o Entra ID.

Depois me conta se testou e funcionou. Espero que tenha curtido!

Grande abraço \,,/

O post Acesso Condicional baseado em horario apareceu primeiro em Entra ID Brasil.

Faaala pessoal, 100%?

A Microsoft não postou a seção de julho no portal de News do Entra, mas mesmo assim, tivemos alguns anúncios que valem ser citados.

Temos duas grandes notícias para julho, ambas podem impactar diretamente sua operação.

Adios, SMS e ligação. Welcome passkey como método de autenticação padrão

A nave mãe anunciou que aposentará o serviço de SMS e ligações como segundo método de autenticação, no formato que existe hoje. Isso não quer dizer que essas duas opções estarão indisponíveis, a grande mudança aqui é que agora, você terá de pagar pelo uso delas. Sim, a entrega dos SMSs e ligações não será mais feita de forma gratuita pela Microsoft. Para continuar utilizando esses dois metodos, você terá de contratar uma das opções disponíveis no EntraID e, obviamente, pagar por isso.

Essa manobra era meio que esperada, visto o crescimento de ataques de roubo de token. E também funciona como um pequeno empurrão para a adoção mais acelerada do Passkey.

Status: Anúncio oficial (rollout começa em setembro/2026, corte em fevereiro/2027)

O que indico como próximos passos:

1. Levante quem no seu tenant usa exclusivamente SMS ou ligação como MFA
2. Rode (ou acelere) uma campanha de registro de passkey pra esse grupo antes de setembro
3. Decida se precisará de um provedor de telecom customizado — se sim, comece a avaliar opções desde já, porque a Security Store só liberará isso em 18/09
4. Trabalhe em conjunto com seu time de suporte. É certeza que o fluxo de chamados aumentará durante essa possível transição

Rollout do Cloud Sync iniciado

Como anunciado em Abril, Microsoft Entra releases and announcements – Microsoft Entra | Microsoft Learn, a Microsoft iniciou a preparação para a migração de Tenants para o Cloud Sync.

Se você faz parte das primeiras ondas, já pode ter recebido em seu Message Center ou Entra Connect Health uma mensagem alertando-o sobre a mudança.

Apenas reforçando, essa é uma mudança que não haverá um opt-out, a Microsoft empurrará a alteração sem opt-out.

Vale conectar isso com outro reforço de segurança do mesmo ciclo: desde 1º de junho de 2026, o Entra já bloqueia qualquer tentativa de “hard-match” vindo do AD que tente assumir um usuário cloud que já tenha Entra Role atribuída. Isso fecha uma brecha já conhecida de escalação de privilégio via manipulação de atributo no on-prem.

Status: Plan for change (notificações começaram em julho/2026, rollout em ondas ao longo dos próximos meses)

Jailbreak/Root Detection no Authenticator: agora oficialmente também no Android

Já falamos sobre o bloqueio implementado no Authenticator, onde o app passou a bloquear celular com jailbreak/root. Em julho temos a expansão desse padrão também para Android.

Embora você já faça isso utilizando App Protection (Se não faz, deveria), qualquer usuário agora não conseguirá mais utilizar o Microsoft Authenticator caso tenha o celular com Jailbreak (iPhone) ou Root (Android).

Mais uma vez, vemos a Microsoft se posicionando de maneira mais robusta em relação a requisitos de segurança para utilização de seus Apps.

Status: GA

Conclusão

Não tivemos volume de novidades em Julho mas, garanto que não faltará planejamento e atividades com as mudanças previstas

Espero que tenha te ajudado! Grande abraço \,,/

Fonte oficial: Microsoft Entra releases and announcements – Microsoft Entra | Microsoft Learn

O post Novidades do EntraID – Julho 2026 apareceu primeiro em Entra ID Brasil.

Faala pessoal, 100%?

Quando se trata de tecnologia, entender os conceitos iniciais é tão ou até mais importante do que mergulhar em conceitos e cenários mais complexos. Pensando nisso, decidi escrever sobre o que é um Tenant, um Entra ID, um domínio e uma Subscription, não apenas definindo, mas trazendo uma visão mais simples de como cada componente trabalha no ecossistema da Microsoft.

A ideia é que a explicação te ajude a sedimentar esses conceitos, que, embora simples, fazem bastante diferença no dia a dia e até mesmo na definição e defesa de projetos!

A motivação de escrever sobre

Eu sei que é simples, que às vezes é apenas uma confusão por conta do dia a dia corrido, mas, a quantidade de pessoas que vejo sem o entendimento exato do que é um Tenant, de qual relação existe entre uma Sub do Azure e o Entra ID, só aumenta. E eu não culpo quem não entenda 100%, eu também levei um tempo pra juntar todas as peças do lego.

Embora rica, a documentação oficial não é clara e deixa vários conceitos mais complexos do que realmente são, muito provavelmente por conta de tradução automatizada e falta de exemplos reais.

Minha intenção aqui é mostrar como eu fiz pra entender melhor esses concetios utilizando o exemplo que eu criei pra me ajudar nos estudos. E fica a dica, não se prenda apenas a termos que a documentação trás, criei suas analogias e facilite seu processo de aprendizado.

O Condomínio Microsoft

O ecossistema de nuvem da Microsoft funciona com base em assinaturas. Pra você utilizar qualquer coisa (recurso, funcionalidade, produto…chame do que quiser), você precisa, obrigatoriamente, ter uma assinatura. E pra ter essa assinatura, você precisa de um espaço só seu.

Esse espaço (que logo menos você entederá que é seu Tenant) vive dentro do Condomínio Microsoft, que nada mais é do que um punhado de DataCenters espalhados pelo mundo onde cada recurso roda.

O seu lote no Condominio Microsoft – Seu Tenant

No Condomínio Microsoft, toda vez que alguém cria uma conta nova, um novo espaço é criado/comprado. Pense como você comprando um lote dentro de um condominio na sua cidade.

Esse lote ganha o nome técnico de Tenant, e ele sempre terá um identificador único chamado GUID, que é tipo um CEP, só que único para o seu Tenant. Como ninguém gosta de ficar lembrando de CEPs ou GUIDs, é preciso definir um nome para seu Tenant e, uma vez definido, a Microsoft entrega um endereço único, como SeuTenant.ONMICROSOFT.com, ou seja, o endereço do seu lote dentro do condomínio Microsoft. Esse endereço pode ser utilizado, mas não é uma boa prática mantê-lo como principal, afinal de contas, ninguém quer usar algo genérico.

Em resumo você pensar assim:

1. Para utilizar os serviços que estão no Condominio Microsfot, você precisa comprar um espaço nele
2. Esse espaço é seu Lote, seu Tenant
3. Esse Lote tem um CEP (GUID) padrão, mas ningúem gosta de lembrar de codigos, então…
4. Seu Tenant precisa de um endereço amigável, que você define dando um nome a ele e a Microsoft inclui o restante, o tal onmicrosoft.com

Mas e seu quiser ter um nome único para o endereço do meu lote, sem utilizar o padrão onmicrosoft.com? Ai entram os Dominio

O nome customizado do seu Lote – Dominios Customizaveis

Embora funcional, o endereço onmicrosoft.com não é bem ranqueado na internet e não passa credibilidade. Não por que o serviço não funcione bem, mas por é algo padrão e que no geral pode não possuir muita segurança ou ser utilizado por serviços genéricos que vão mais te pertubard o que ajudar.

É possível então trazer o nome da sua empresa, seu dominio customizado, e registra-lo, fazendo com que agora quando alguem quiser te encontrar, ele busque entraidbrasil.com.br ao invés de entraidbrasil.onmicrosoft.com. Por debaixo dos panos, lá no registro de cartório, seu lote continua com o endereço original sendo o onmicrosoft.com.br mas você tem a liberdade de divulga-lo com um ou mais endereços customizaveis que no final serão sempre linkados a esse original.

É como ter várias placas indicando diferentes endereços para chegar no mesmo local, seu Lote (Tenant).

O nome bonito para esses novos endereços é Dominio Cutomizado, e você por ter mais de 100 no mesmo Tenant. O sufixo onmicrosoft.com é chamado de Dominio de fallback e como o nome propõe, ele é o cara que responderá pelo endereço do lote caso seus dominios customizados sejam removidos.

A relação aqui é sempre 1:1, um dominio só pode estar atrelado a um Tenant.

O consumo dentro do seu Tenant

Ao criar um Tenant, a premissas é de que haverá uso dele. Para utilizar serviços dentro do Condominio Microsoft, é preciso pagar por isso, e para pagar, é preciso ter um local de cobrança. Aqui entram as Assinaturas do Azure (Subscriptions) e até mesmo as licenças do Microsoft 365. Vamos focar nas Assinatura do Azure por que elas são as que mais geram confusão.

Uma vez definido que você queria utilizar uma VM, ou qualquer outro recurso do Azure, mandatoriamente, você precisará de uma Assinatura. Essa Assinatura nada mais é do que uma comanda de consumo, tipo aquelas que usam em restaurante e vão anotando o que você consume. Na cloud Microsfot, a Assinatura combina todo o seu consumo e te cobra no final do mês e ela SEMPRE estará vinculada a seu Tenant. É como se fosse o Condominio Condiminio cobrando seu lote pela agua ou energia consumida no mês, mas ao invés de energia, você paga pelas VMs que subiu, pelos WebApps e outros recursos do Azure.

E se houveram equipe distintas que usam seu lote (Tenant), você consegue ter várias comandas (subscriptions) para cobrar exatamente o que cada equipe consumiu. Aqui vemos que um Tenant pode ter várias subscriptions atreladas a ele. A relação é 1:N, onde 1 Tenant pode ter várias Subscriptions.

O porteiro – Entra ID

Pra não virar bagunça, precisamos de alguem autorizando a entrada no seu lote e definido regras de uso, segurança e quem pode usar cada assinatura. Aqui é o Entra ID aparece!

O Entra é responsável por gerenciar os usuários do Seu Tenant, definir acessos atrás de politicas de acesso o RBAC e também aplicar regras de segurança a quem quer conectar no seu Tenant. É no Entra que você informar que para passar a portaria do seu Tenant, é preciso entregar dois metodos de atenticação, uma palavra chave (a senha) + um documento que prove que você é você (MFA).

Algo que muita gente não entende é que o Entra é único por Tenant. E ele governa tanto as cargas de trabalho do Microsoft 365 quando no Azure. No seu Tenant não existe um Porteiro para M365 e outro para Azure, é sempre a mesma entidade, um único Entra ID (um porteiro) governando o acesso a seu lote.

O resumo

No final, teremos o seguinte resumo:

A Microsoft é o condomínio, o seu Tenant é o lote, os Domínios são seus endereços customizados na entrada, o Entra ID é a porteiro e a Azure subscription é onde seu consumo do Azure é anotado para cobrar no final do mês. Tentei sintetizar isso na imagem abaixo:

No final, são conceitos simples que podem fazer TODA a diferença durante seus estudos e principalmente, garantir que seu conhecimento tenha base suficiente para suportar conteudos mais pesados e por consequencia mais complexos!

Espero que eu tenha cumprido meu objetivo inicial de escrever algo simples e entendível. Grande abraço \,,/

O post Entra ID, Tenant, Dominio, Subscription – Guia Definitivo apareceu primeiro em Entra ID Brasil.

Introdução

“Mas aqui no AzureAD (pra quem é dos tempos antigos ai) fica tudo no mesmo lugar. Não tem nem lugar pra organizar meus usuários”

Que atire a primeira pedra quem nunca disse ou pensou em algo parecido durante o primeiro contato com o EntraID (também conhecido, antes da vigésima alteração de nomes da Microsoft, como Azure AD). Foi assim comigo, o primeiro contato foi uma visão desorganizada e confusa, tudo no mesmo menu, sem segmentação por departamento ou qualquer outro nível.

O que eu sentia falta eram das famosas Unidades Organizacionais, ou para os mais íntimos, OUs (Organizational Units. Em um ambiente de Active Directory, o cenário classico e que reflete as melhoras práticas é a segmentação de objetos, departamentos e níveis de acesso utilizando as OUs. A partir delas, temos flexibilidade para aplicar políticas a determinada audiência no ambiente, seja por usuários ou por dispositivos.

Obs: Imagem meramente ilustrativa, eu particularmente mantenho contas de usuários e computadores dentro da mesma OU

Unidades Administrativas, o primo das das pastinhas (OUs)

Ao contrário do AD que utiliza um modelo hierárquico, e é por isso que as OUs fazem tanto sentido. O Entra ID, por sua vez, segue a filosofia de organização por atributo em que objetos do mesmo tipo são alocados juntos. Pois bem, como não estamos aqui para falar sobre tipos de design, deixe-me falar sobre o tópico principal.

Embora não existam as OUs, no Entra ID temos as Unidades Administrativas que vão funcionar de forma semelhante as OUs SE, e apenas SE, estivermos falando de permissões de acesso ao determinado objeto.

Funciona basicamente assim: Digamos que, por questões de governança, compliance ou requisito de negócio, apenas o pessoal autorizado pode ter acesso para modificar ou até mesmo dar suporte a contas de usuários C-Level na empresa. Por padrão, quem possui as roles do Entra de User Admin ou um Global Admin da vida, conseguirá realizar alterações em todos os usuários do seu Tenant (obviamente cada role terá sua permissão devida). Com as AUs (Administrative Units), conseguimos “quebrar” essa hierarquia de permissões e isolar alterações em contas específicas, definindo quem pode realizar qualquer ação nelas. A figurinha abaixo deve ajudar no entendimento.

Aqui temos 4 Unidades Administrativas. Dentro de cada uma podemos definir quem poderá dar suporte ou realizar qualquer alteração nos objetos que fazem parte dessa AU.

Digamos que o time de Suporte do Brasil, receba permissão de User Admin na AU Business School. Caso um usuário que esteja dentro da Business School solicite suporte e um membro do time de Suporte dos EU pegue esse chamado, ele(a) não conseguirá fazer absolutamente nada. Isso por que o acesso está restrito APENAS ao time de suporte do Brasil.

Obviamente o permissionamento é flexível, e você ajusta da forma que precisa, atribuindo cada objeto que você quer/precisa a respectiva AU e dando permissão a grupo de segurança x, y ou z.

E se eu for um Global Admin, sigo acessando tudo, certo? ERRADO!

Se configurado, as Unidades Administrativas valem também para um Global Admin. Claro que por ter permissões globais, um GA pode se auto-adicionar como membro de User Admin dentro de uma AU e alterar um usuário que faça parte dela, mas, o importante aqui é reforçar que por padrão, até mesmo um GA é afetado.

E como implantar (The basics)

Not that hard! As Unidades Adminstrativas ficam escondidas no menu de Roles & Admin, no Entra ID.

Clicando em “Add” voc”e defini o nome, uma descrição e segue para o próximo passo.

Na tela seguindo, você precisa quem terá qual role para essa AU. É onde definimos as permissões. É possível selecionar, por exemplo, User Admin e adicionar usuários a essa role APENAS para essa AU. Clicando no nome da Role, você verá a tela para atribuição onde poderá selecionar o que definir.

Uma vez concluido, clique em Review e Create!

Pronto, com a AU criada, você precisa entrar nela para adicionar os objetos que serão gerenciados. Veja que podes adicionar Users, Grupo e Devices.

Caso precise ajustar alguma permissão, no mesmo menu consegue acessar a parte de roles.

Conclusão

Uma vez configurado, os efeitos são imediatos. Simples e funcional.

Não é muito comum eu ver uso de AUs em ambiente, e embora seja um recurso relativamente simples, é super útil e cai muito bem onde a exigencia por compliance é mais rigorosa. Logo menos posto um caso de uso com AUs.

Espero que tenha te ajudado! Grande abraço \,,/

O post Unidades Administrativas – O que são e por que utilizar apareceu primeiro em Entra ID Brasil.