O que é Microsoft Entra ID e para que ele serve?

Como o Entra ID convive com o Active Directory local?

Muitas empresas mantêm o Active Directory local para computadores e servidores internos e usam o Entra ID para o Microsoft 365 e as aplicações em nuvem. A ligação entre os dois é feita por ferramentas de sincronização, como o Microsoft Entra Connect Sync e o Microsoft Entra Cloud Sync, que replicam usuários e grupos do ambiente local para a nuvem.

Nesse modelo híbrido, a empresa escolhe como a senha será validada:

• Sincronização de hash de senha: um hash derivado do hash da senha é enviado à nuvem, e o login é validado diretamente pelo Entra ID.
• Autenticação de passagem: o Entra ID consulta agentes instalados na rede local, que conferem a senha no Active Directory.
• Federação: a autenticação é delegada a um serviço separado, como o AD FS (Active Directory Federation Services).

A sincronização de hash é, em geral, a opção mais simples de manter e continua funcionando se o ambiente local ficar fora do ar. A decisão deve considerar os requisitos de segurança e a infraestrutura existente.

O que é acesso condicional e qual licença ele exige?

Acesso condicional é o recurso que decide, a cada login, se o acesso será permitido e em quais condições. A política funciona como uma regra do tipo “se, então”: se o usuário pertence a determinado grupo, está fora do país ou usa um dispositivo não gerenciado, então o acesso é bloqueado, exige MFA ou exige um equipamento em conformidade.

Os recursos variam por edição. A versão gratuita oferece os padrões de segurança, um conjunto básico que exige o cadastro de MFA e bloqueia a autenticação legada. O acesso condicional depende do Microsoft Entra ID P1, incluído em planos como Microsoft 365 Business Premium e Microsoft 365 E3. Políticas baseadas em risco de login e elevação temporária de administradores fazem parte do P2, presente em planos como o Microsoft 365 E5. Como a Microsoft revisa seus pacotes com alguma frequência, a empresa deve verificar o que o plano contratado inclui.

Quais ajustes costumam ser prioritários?

Em um ambiente que já está em uso, a revisão pode começar por estes pontos:

• Exigir MFA de todos os usuários, com métodos mais fortes para administradores.
• Manter poucos administradores globais e usar funções específicas, como administrador de usuários ou do Exchange, nas tarefas do dia a dia.
• Separar a conta administrativa da conta usada para e-mail e navegação.
• Criar contas de emergência, protegidas e monitoradas, para recuperar o acesso caso uma política mal configurada bloqueie os administradores.
• Bloquear protocolos de autenticação legada.
• Restringir quais aplicativos de terceiros os usuários podem autorizar a ler seus dados.
• Revisar periodicamente convidados externos e contas sem uso.
• Enviar os logs de entrada e de auditoria para um SIEM, a plataforma que centraliza e correlaciona eventos de segurança, porque o período de retenção nativo é curto.

Qual a diferença entre Entra ID e Intune?

O Entra ID cuida da identidade: quem é a pessoa e o que ela pode acessar. O Microsoft Intune cuida dos dispositivos, com configurações, aplicativos, criptografia e atualizações, em uma abordagem de MDM (Mobile Device Management, ou gestão de dispositivos móveis).

Os dois se complementam. O Intune avalia se um notebook ou celular está em conformidade com as regras da empresa, e o acesso condicional do Entra ID pode usar essa informação para liberar o e-mail corporativo somente em equipamentos que cumprem os requisitos.