O que é o Microsoft Entra ID?

Microsoft Entra ID (anteriormente Azure Active Directory) é o serviço de gerenciamento de identidade e acesso baseado na nuvem da Microsoft. Ele é a base de identidade do Azure e do Microsoft 365, gerenciando a autenticação e a autorização de milhões de usuários e aplicações em todo o mundo. Cada assinatura do Azure está associada a um locatário do Entra ID que armazena identidades de usuários e gerencia o acesso aos recursos.

O Active Directory Domain Services (AD DS) tradicional no local gerencia identidades usando os protocolos Kerberos e LDAP, sendo adequado para máquinas Windows ingressadas em um domínio de uma rede corporativa. O Entra ID é nativo da nuvem e usa protocolos modernos — OAuth 2.0, OpenID Connect e SAML — para autenticar usuários em aplicativos Web, serviços SaaS e APIs de qualquer dispositivo e em qualquer lugar. Os dois podem coexistir por meio do Microsoft Entra Connect, que sincroniza as identidades locais com a nuvem.

Um locatário é uma instância dedicada do Entra ID que uma organização recebe ao se inscrever no Azure ou no Microsoft 365. Ele tem seu próprio diretório de usuários, grupos e aplicativos. Seu locatário tem um nome de domínio como yourcompany.onmicrosoft.com, e você pode adicionar domínios personalizados como yourcompany.com. Cada assinatura do Azure confia exatamente em um locatário para autenticação.

Uma assinatura do Azure é um limite de cobrança e de recursos — ela contém recursos do Azure, como VMs, bancos de dados e contas de armazenamento. Uma assinatura confia em um locatário do Entra ID, o que significa que somente identidades desse locatário (ou identidades federadas) podem receber acesso aos recursos da assinatura. Várias assinaturas podem confiar no mesmo locatário, que é como grandes empresas gerenciam muitos ambientes sob um único repositório de identidades.

Entender essa distinção é fundamental. Autenticação (AuthN) é o processo de provar quem você é — o Entra ID verifica seu nome de usuário e sua senha (ou o token de MFA). Autorização (AuthZ) é o processo de determinar o que você tem permissão para fazer — o Azure RBAC verifica suas atribuições de função para decidir quais operações sua identidade pode executar nos recursos do Azure depois que a autenticação é concluída.

O Entra ID está disponível em três edições principais. A edição Gratuita (incluída em qualquer assinatura do Azure) oferece gerenciamento básico de usuários e grupos, SSO para até 10 aplicativos e relatórios básicos de segurança. A edição P1 adiciona acesso condicional, identidade híbrida com o AD local e gerenciamento de grupos por autoatendimento. A edição P2 adiciona proteção de identidade com acesso condicional baseado em risco e o Privileged Identity Management (PIM) para ativação de funções just-in-time.

O Entra ID é compatível com usuários somente na nuvem (criados diretamente no diretório) e usuários sincronizados (sincronizados do AD local por meio do Entra Connect). Você pode criar usuários pelo portal do Azure, pelo centro de administração do Microsoft 365, pelo Azure CLI ou pelo PowerShell. Cada objeto de usuário armazena atributos como nome de exibição, email, cargo, departamento e gerente, além das credenciais de autenticação.

O Entra ID é compatível com dois tipos de grupo. Os grupos de segurança são usados para atribuir permissões — adicione um usuário a um grupo de segurança e atribua ao grupo uma função do RBAC para evitar o gerenciamento de atribuições individuais. Os grupos do Microsoft 365 reúnem uma caixa de correio compartilhada, um calendário, um site do SharePoint e um espaço de trabalho do Teams para colaboração. As associações a grupos podem ser atribuídas dinamicamente com base nos atributos dos usuários, reduzindo o gerenciamento manual.

Quando quiser permitir que um aplicativo autentique usuários por meio do Entra ID, você cria um registro de aplicativo. Ele representa seu aplicativo no diretório e fornece a ele uma ID de cliente. Em seguida, você configura as URIs de redirecionamento permitidas e as permissões de API e, para clientes confidenciais, gera um segredo do cliente ou carrega um certificado. O aplicativo usa fluxos OAuth 2.0 / OIDC para obter tokens de acesso em nome dos usuários.

Uma identidade gerenciada é uma identidade gerenciada automaticamente no Entra ID e atribuída a um recurso do Azure, como uma VM ou o App Service. O recurso pode obter tokens do Entra ID sem credenciais armazenadas nem gerenciamento de rotação. As identidades gerenciadas atribuídas pelo sistema existem enquanto o recurso existir; as identidades gerenciadas atribuídas pelo usuário são objetos independentes que podem ser anexados a vários recursos.

O Self-Service Password Reset (SSPR) permite que os usuários redefinam suas próprias senhas do Entra ID sem ligar para o suporte de TI, usando métodos de verificação como aplicativo autenticador, telefone, email ou perguntas de segurança. O SSPR reduz significativamente os chamados ao suporte e permite que os usuários recuperem o acesso por conta própria fora do horário comercial. Ele está disponível no Entra ID P1 e P2 e pode gravar as senhas de volta no AD local em ambientes híbridos.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) apresentados nesta lição.

Nesta lição, você aprendeu que: o Entra ID é o serviço de identidade nativo da nuvem do Azure que usa OAuth 2.0 e OpenID Connect, os locatários são instâncias de diretório dedicadas nas quais as assinaturas confiam para autenticação e as identidades gerenciadas permitem que os recursos do Azure se autentiquem sem credenciais armazenadas. A seguir, exploraremos usuários, grupos e atribuições de funções do RBAC no Entra ID.