Microsoft 365 / Como Atribuir Funções de Administrador e Preparar Contas de Acesso de Emergência

Atribua permissões de administrador do Microsoft 365 de acordo com as tarefas de cada pessoa, em vez de conceder a todos os administradores a função de Administrador Global. Prepare e valide regularmente contas de acesso de emergência independentes para que a organização possa recuperar o acesso administrativo caso suas contas de administrador normais não possam ser usadas.

Por que separar as funções de administrador?

As funções de administrador determinam o escopo das configurações que podem ser visualizadas e as operações que podem ser alteradas. Funções como Administrador de Licenças, Administrador de Usuários, Administrador do Exchange e Administrador do SharePoint são projetadas para diferentes responsabilidades. Conceder permissões excessivamente amplas a uma única conta aumenta o potencial impacto de comprometimento da conta ou erros.

O guia de funções de administrador do Microsoft 365 recomenda privilégios mínimos e um número limitado de administradores. Antes de atribuir uma função, liste as tarefas concretas da pessoa e escolha a função com menos permissões que permita executá-las. Não deduza as permissões apenas pelo nome da função; consulte os direitos detalhados.

Escolhendo funções para tarefas comuns

Por exemplo, se o RH fornecer uma lista de novos funcionários e a TI criar suas contas, o RH pode enviar uma solicitação de aprovação sem receber permissões de gerenciamento de usuários. Separe as tarefas em "tarefas necessárias para a empresa" e "tarefas que esta pessoa deve realizar diretamente". As atribuições de função devem ser realizadas por um administrador separado que possua as permissões apropriadas.

Atribuição e remoção de funções de administrador

1. No centro de administração do Microsoft 365, abra Funções → Atribuições de função. Sua conta atual deve ter permissão para gerenciar funções.

2. Selecione uma função adequada para suas tarefas e leia a descrição das permissões. Se necessário, verifique funções mais detalhadas no centro de administração do Microsoft Entra.
3. Na aba Atribuído, selecione Adicionar usuários, escolha a conta apropriada e selecione Adicionar. Registre o motivo da atribuição, o aprovador, o escopo e o cronograma de revisão.
4. Verifique se o trabalho necessário pode ser realizado com a conta e remova quaisquer permissões desnecessárias. Como pode levar algum tempo para que as permissões sejam aplicadas, inicie uma nova sessão de login para verificar.

Você também pode alterar funções na tela de detalhes do usuário em Gerenciar funções. O procedimento de atribuição de funções da Microsoft explica ambos os caminhos.

Após salvar, a pessoa designada verifica os menus e tarefas necessários em uma nova sessão de login. Se for trabalho somente de leitura, apenas verifique a visualização; ao verificar permissões de alteração, determine o alvo de teste aprovado e os valores a serem revertidos. Em caso de erros, verifique primeiro a organização correta, o escopo das funções e o status da atribuição, e não eleve imediatamente para um administrador global.

Quando o trabalho for concluído ou quando houver mudança na pessoa responsável, remova a pessoa em Funções → Atribuições de função → a função relevante → Atribuído e verifique novamente. Se múltiplas funções forem mantidas simultaneamente, mesmo que uma seja removida, o mesmo trabalho ainda pode ser possível por outro caminho. Se a organização utilizar PIM (Privileged Identity Management, uma função de gerenciamento para ativar permissões quando necessário), distinga e confirme as funções ativas e as funções elegíveis.

O que é uma conta de administrador de emergência?

Contas de emergência são contas usadas para recuperar o acesso à sua organização quando suas contas de administrador regulares, métodos de autenticação ou sistemas de ID externos encontram problemas. Elas são diferentes de simplesmente criar uma conta adicional para tarefas diárias. A Microsoft recomenda em Diretrizes de Conta de Acesso de Emergência preparar duas ou mais contas somente na nuvem, projetar caminhos de autenticação diferentes das contas operacionais regulares, monitorar seu uso e testá-las periodicamente.

Contas de emergência devem ser criadas como contas apenas na nuvem no domínio padrão onmicrosoft.com e projetadas de forma que não dependam de sincronização de diretório local ou servidores de autenticação externos. A orientação da Microsoft atualizada em junho de 2026 aconselha que contas de emergência usem métodos de autenticação resistentes a phishing diferentes dos administradores regulares e sejam excluídas das políticas de Acesso Condicional que bloqueiam ou restringem o login. Políticas apenas de relatório não impedem o login, portanto não há necessidade de excluir contas de emergência apenas por esse motivo.

Esta exceção não significa que elas devem ser configuradas para fazer login apenas com uma senha. Use chaves de acesso (passkeys) FIDO2 ou chaves de segurança para atender aos requisitos obrigatórios de autenticação multifator (MFA). A autenticação baseada em certificado é outra opção se a organização já tiver uma infraestrutura de chave pública (Public Key Infrastructure, PKI) em vigor. Se contas regulares dependem de autenticação por telefone, não configure contas de emergência para depender do mesmo telefone. Se estiver usando PIM, é recomendável que as funções de administrador global das contas de emergência estejam em um estado permanentemente ativo em vez de uma atribuição elegível que exige aprovação de ativação.

Preparando e validando contas de acesso de emergência

1. Investigue os administradores globais atuais e as dependências de autenticação. Certifique-se de que eles não dependam apenas de IDs integrados locais ou de um único método de autenticação.
2. Projete pelo menos duas contas de emergência exclusivas na nuvem de acordo com a política organizacional. Os nomes das contas devem permitir a identificação de sua finalidade, mas não devem ser expostos em documentos públicos ou capturas de tela.
3. Defina privilégios de administrador global e métodos de autenticação seguindo as diretrizes da Microsoft e garanta um caminho de uso independente das contas de administrador regulares. O método de configuração varia dependendo das licenças e políticas da organização.
4. Configure procedimentos de alerta e auditoria para o uso de contas e alterações de configuração. Se estiver logado com uma conta de emergência, os registros de incidentes e a revisão posterior devem ser mantidos.
5. Teste regularmente os logins em um ambiente controlado. Após o teste, verifique se os logs e alertas esperados foram gerados e atualize os procedimentos de acesso quando ocorrerem alterações no pessoal.

O que verificar durante os testes regulares

A Microsoft recomenda validar as contas de emergência pelo menos a cada 90 dias. Reavalie após alterações de administrador, atualizações de políticas de autenticação ou mudanças no local de armazenamento. O ponto chave é distinguir entre "ter uma conta" e "ser capaz de usá-la para recuperação", para que a conta não seja testada pela primeira vez durante uma interrupção real.

1. Informe ao responsável pela segurança que um teste programado será realizado e verifique se o pessoal aprovado pode acessar as credenciais e o ambiente de trabalho seguro designado. Se o acesso ao armazenamento seguro das credenciais depender de uma conta de trabalho que não esteja disponível durante o incidente, o caminho de recuperação também pode ser bloqueado.
2. Faça login usando a conta de emergência sem reutilizar uma sessão de conta geral. Confirme se os métodos de autenticação necessários funcionam e se as funções administrativas estão acessíveis. Não desative arbitrariamente as políticas organizacionais para fins de teste.
3. Verifique se as contas e os carimbos de data/hora reais aparecem nos logs de login e auditoria, e se alertas de monitoramento são enviados para outros administradores. Se nenhum alerta foi recebido, não considere o sistema pronto para operação normal.
4. Após sair, registre os resultados do teste, os usuários que acessaram o sistema, itens com falha e a pessoa responsável pela correção. Após o uso real em emergência, revise as tarefas realizadas e reavalie as credenciais e procedimentos de armazenamento que possam ter sido expostos.

O monitoramento pode ser projetado com base no ID do objeto da conta nos logs de login do Entra. Ao conectar notificações por meio do Azure Monitor ou das ferramentas de monitoramento de segurança da organização, é necessário primeiro preparar a exportação de logs, o armazenamento e os caminhos de alerta, o que pode exigir permissões adicionais e gerar custos separados. Simplesmente criar uma conta não configura alertas automaticamente. Não registre o endereço real da conta de emergência, códigos de recuperação ou locais de armazenamento seguro de chaves em documentos públicos; mantenha-os em registros operacionais controlados.