Implementando o Gerenciamento de Identidade Privilegiada do Azure AD

Visão Geral

O Microsoft Entra Privileged Identity Management (PIM) fornece ativação de função baseada em tempo e aprovação para mitigar riscos de acesso excessivo, desnecessário ou mal utilizado a recursos críticos. O PIM substitui atribuições de privilégio permanentes (contínuas) por atribuições elegíveis que exigem que os usuários ativem explicitamente sua função antes do uso, com duração configurável, imposição de MFA, fluxos de trabalho de aprovação e requisitos de justificativa. Este é um componente central da governança de identidade Zero Trust em ambientes Microsoft.

Quando Usar

• Ao implantar ou configurar capacidades de implementação do gerenciamento de identidade privilegiada do Azure AD em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Licença Microsoft Entra ID P2 ou Microsoft Entra ID Governance
• Função de Administrador Global ou Administrador de Função Privilegiada
• Assinatura do Azure para gerenciamento de funções de recursos do Azure
• MFA configurado para todos os usuários privilegiados
• Microsoft Authenticator ou chave FIDO2 para contas de administrador

Conceitos Principais

Tipos de Atribuição

Fluxo de Ativação do PIM

User with Eligible Assignment
        │
        ├── Opens PIM portal → My Roles
        │
        ├── Clicks "Activate" on the desired role
        │
        ├── Provides justification and optional ticket number
        │
        ├── Completes MFA challenge (if required)
        │
        ├── [If approval required] → Notification sent to approvers
        │       │
        │       ├── Approver reviews and approves/denies
        │       └── User notified of decision
        │
        ├── Role activated for configured duration (e.g., 8 hours)
        │
        └── Role automatically deactivated when duration expires

Tipos de Recurso Suportados

1. Funções do Microsoft Entra: Administrador Global, Administrador do Exchange, Administrador de Segurança, etc.
2. Funções de Recursos do Azure: Proprietário, Colaborador, Administrador de Acesso do Usuário em assinaturas/grupos de recursos
3. PIM para Grupos: Gerenciar a associação em grupos de segurança privilegiados

Fluxo de Trabalho

Etapa 1: Planejar Atribuições de Função

Audite as atribuições de função permanentes atuais e determine quais devem ser convertidas para elegíveis:

Melhor prática: Mantenha no máximo 2 Administradores Globais permanentes (contas "break-glass").

Etapa 2: Configurar Configurações de Função

Para cada função de diretório do Entra, configure as configurações do PIM:

Via Centro de Administração do Microsoft Entra:

1. Navegue até Governança de Identidade > Gerenciamento de Identidade Privilegiada > Funções do Microsoft Entra
2. Selecione "Configurações" e escolha a função a ser configurada
3. Configure o seguinte:

Configurações de Ativação:

• Duração máxima de ativação: 8 horas (recomendado; máximo de 72 horas)
• Exigir MFA na ativação: Habilitado
• Exigir justificativa: Habilitado
• Exigir informações de ticket: Habilitado (para integração de gerenciamento de mudanças)
• Exigir aprovação: Habilitado para Administrador Global, Administrador de Segurança

Configurações de Atribuição:

• Permitir atribuição elegível permanente: Não (definir expiração)
• Expirar atribuições elegíveis após: 6 meses (requer recertificação)
• Permitir atribuição ativa permanente: Apenas para contas "break-glass"
• Exigir MFA na atribuição ativa: Habilitado
• Exigir justificativa na atribuição ativa: Habilitado

Configurações de Notificação:

• Enviar e-mail quando membros forem atribuídos como elegíveis: Atribuidores de função, administradores
• Enviar e-mail quando membros ativarem: Administradores, equipe de segurança
• Enviar e-mail quando membros elegíveis ativarem funções: Destinatários da função

Etapa 3: Configurar via Microsoft Graph API

import requests


…